Problème 6147

En janvier dernier, lorsque Joann Fabrics a déposé son bilan pour la deuxième fois en un an, les escrocs ont saisi l'occasion. En quelques jours, une multitude de sites web frauduleux sont apparus avec des URL telles que « joannlosangeles.com », « jo-annclosingonsale.shop » et « joanndiscount.shop », tous conçus pour ressembler quasiment au site officiel du détaillant.

Les sites frauduleux de Joann, qui utilisaient le nom, la marque et les images des produits de l'entreprise, prétendaient proposer des articles à prix réduits afin de voler les informations de carte de crédit et les données personnelles des clients. Les clients qui passaient commande sur ces faux sites ne recevaient jamais les produits, mais leurs informations de paiement étaient compromises.

« L'apparence générale du site web était très similaire à celle du site officiel », explique Melanie McGovern, directrice des relations publiques et des médias sociaux au Better Business Bureau (BBB). Si vous êtes sur votre téléphone portable, vous ne consultez pas cette URL lorsque vous cliquez sur une publicité ou un lien dans un e-mail indiquant "acheter ici".

Ces faux sites web Joann illustrent les arnaques de plus en plus sophistiquées qui peuvent tromper même les consommateurs les plus prudents, selon le BBB. Les escrocs créent des faux sites web réalistes, identiques aux originaux, imitant tout, des détaillants connus comme Amazon et PayPal aux agences de péage, aux portails d'emploi et aux institutions financières.

De telles arnaques se multiplient depuis des années, mais certains experts en cybersécurité craignent qu'une nouvelle technologie ne les amplifie : des outils d'IA permettant à des criminels aux compétences techniques limitées de créer des répliques quasi parfaites de sites légitimes en quelques minutes seulement.

Le processus est simple : les attaquants achètent un outil d'IA sur une place de marché criminelle ou un forum du dark web. Ils saisissent l'URL d'un site légitime, et les outils d'IA extraient instantanément la page réelle, en copient l'apparence et ajoutent de faux formulaires conçus pour collecter des informations personnelles ou financières. Les escrocs peuvent modifier les pages, les traduire en plusieurs langues et les déployer, souvent en quelques minutes, sans écrire une seule ligne de code.

« Ce qui est effrayant, c'est la simplicité », explique Robert Duncan, vice-président du renseignement et de la stratégie chez Netcraft, une entreprise de cybersécurité. « Cela permet à un plus grand nombre de personnes non techniques d'accéder aux outils, ce qui réduit les obstacles à l'entrée. » ### Élargir son réseau

Joann Fabrics a déclaré avoir connaissance de l'existence de faux sites et de publicités Facebook et avoir averti les consommateurs que https://www.joann.com/ était le seul site web légitime permettant d'acheter des produits Joann. L'entreprise a également exhorté toute personne ayant effectué un achat sur un faux site à contester le débit auprès de son établissement financier. Joann a vendu sa marque à son concurrent Michaels début juin.

On ignore si les faux sites Joann ont été créés à l'aide de l'IA. Netcraft a identifié près de 100 000 domaines créés à l'aide d'outils d'IA illicites, usurpant l'identité de 194 marques différentes dans 68 pays. L'entreprise estime que ces faux sites représentent désormais 6 à 7 % de l'ensemble des activités d'hameçonnage en ligne.

Cet outil permet aux escrocs de cibler des marques qui, auparavant, ne représentaient pas une cible suffisamment importante pour les efforts nécessaires à la création d'un faux site. Si Duncan affirme que les grandes entreprises disposent de systèmes sophistiqués pour détecter et démanteler rapidement les sites frauduleux, les petites entreprises manquent souvent de ces ressources.

« Les grandes entreprises, les marques de renom, s'y attendent », explique James E. Lee, président de l'Identity Theft Resource Center, une association à but non lucratif qui aide les victimes d'usurpation d'identité. « Mais ce sont les petites et moyennes entreprises, en réalité, toutes les entreprises aujourd'hui », qui sont désormais la cible de la cyberfraude, précise-t-il.

Les SMS se faisant passer pour des entreprises légitimes (appelés smishing) sont un moyen privilégié pour attirer les victimes vers des sites frauduleux. Ils permettent aux attaquants de contourner les filtres anti-spam et d'atteindre les personnes de manière plus personnelle et immédiate, explique Tim Davis, analyste principal du renseignement sur les cybermenaces au Center for Internet Security. Les messages peuvent prétendre provenir de services de téléphonie fixe, de sociétés de livraison de colis ou d'employeurs, et inclure des liens vers des sites dont les URL sont raccourcies, masquant leur véritable destination.

Comment se protéger

Bien qu'il soit de plus en plus difficile de repérer les faux sites web, les experts en cybersécurité recommandent aux consommateurs de prendre certaines mesures :

• Au lieu de cliquer sur les liens vers des sites web dans les SMS et les e-mails, accédez au site web officiel de l'entreprise en saisissant directement l'adresse.

• Étudiez attentivement les adresses web. Les escrocs ajoutent souvent des termes à la fin des noms de domaine légitimes, tels que « kmart-jobs.com » ou « amazon-sale.net » au lieu des adresses officielles kmart.com ou amazon.com. Soyez également attentif aux fautes d'orthographe ou aux substitutions subtiles dans les URL, comme « 1 » au lieu de « i » ou le chiffre 0 au lieu de la lettre O.

• Soyez particulièrement vigilant lorsque vous naviguez sur des sites web sur un téléphone portable, car il est plus difficile de repérer une URL suspecte sur un écran plus petit.

• Ne comptez pas sur les fautes d'orthographe ou de grammaire dans les e-mails ou les pages web d'hameçonnage pour vous alerter d'un faux site. Si cela était autrefois utile, le contenu généré par l'IA produit désormais un texte impeccable, rendant cette méthode de détection obsolète.

• Si quelque chose vous semble suspect, comme un langage urgent exigeant une action immédiate, des demandes d'informations personnelles inhabituelles ou des offres qui semblent trop belles pour être vraies, cessez immédiatement toute interaction. Signalez le site aux autorités comme le BBB ou le Centre de plaintes pour cybercriminalité du FBI (IC3).

Jackie Snow est rédactrice à Los Angeles. Vous pouvez la contacter à l'adresse reports@wsj.com.