Le bras long de la loi commence enfin à contrecarrer le smishing

Comment les actions en justice et la technologie tentent de mettre fin aux systèmes de phishing par SMS à l'échelle mondiale

Ce qu’il faut retenir

• Google a intenté une action en justice contre le groupe de cybercriminalité Smishing Triad, ciblant sa plateforme de phishing-as-a-service, Lighthouse, en invoquant les lois RICO, Lanham et Computer Fraud and Abuse Act.
• La plateforme Lighthouse fonctionne depuis 2023 et est responsable de la collecte de millions de numéros de cartes de crédit, avec une augmentation par cinq des attaques depuis 2020, touchant des victimes dans plus de 120 pays.
• Google collabore avec le Congrès à l'élaboration d'une législation visant à mieux équiper les États et les agences pour lutter contre les escroqueries, notamment en ce qui concerne les enquêtes sur les fraudes financières, l'arrêt des appels téléphoniques non sollicités à l'échelle internationale et la lutte contre les composés de scam.
• Google a amélioré sa plateforme avec des outils d'IA pour détecter et signaler de manière proactive les messages de scam courants, tels que ceux liés aux frais de péage ou aux livraisons de colis.

Au fil des ans, on s'est beaucoup plaint des recours limités offerts par le système juridique, compte tenu du fait que les cyberattaques peuvent être lancées de presque n'importe où. Trop souvent, il n'y a pas grand-chose à faire pour mettre fin à ces attaques, car les pays d'où elles ont été lancées ne sont pas particulièrement préoccupés par l'impact qu'elles pourraient avoir au-delà de leurs frontières.

Cependant, de temps en temps, la confiance dans le système juridique est rétablie. Dans le cadre d'une action sur plusieurs fronts visant à contrecarrer une opération mondiale de smishing qui a ciblé plus d'un million de victimes en utilisant des messages textuels avertissant de colis non livrés ou de frais de péage E-ZPass impayés pour solliciter des informations personnelles et des numéros de carte de crédit, Google a intenté une action en justice visant à démanteler une plateforme de phishing-as-a-service (PhaaS), connue sous le nom de Lighthouse, qui a été utilisée par un groupe de cybercriminels surnommé Smishing Triad pour lancer ces campagnes.

Impact du procès intenté par Google contre Smishing Triad

Plus précisément, Google a déposé une plainte en vertu des lois RICO (Racketeer Influenced and Corrupt Organizations), Lanham Act et Computer Fraud and Abuse Act pour faire fermer Lighthouse. Dans le cadre de cette démarche, Google a également partagé un message publié par l'entité hôte Lighthouse indiquant, en chinois, qu'un « serveur Cloud a été bloqué en raison de plaintes malicieuses ».

La manière dont cette perturbation a été réalisée n'est pas claire, car Lighthouse et d'autres fournisseurs de plateformes PhaaS similaires font appel à de multiples fournisseurs de services cloud, mais on peut supposer que les fournisseurs utilisés pour lancer ces attaques ne sont pas très enthousiastes à l'idée d'être cités dans un procès. En conséquence, il semblerait que ces derniers accordent désormais une plus grande attention à la façon dont ces syndicats profitent de l'infrastructure qu'ils mettent à disposition et, tout aussi important, prennent des mesures pour bloquer ce trafic.

Malheureusement, de nombreux dégâts ont déjà été causés. Lighthouse est en activité depuis 2023 et, au cours des deux dernières années, la plateforme a collecté entre 12,7 millions et 115 millions d'informations de cartes de crédit aux États-Unis. Au total, le nombre d'attaques de ce type a été multiplié par cinq depuis 2020, touchant des victimes dans plus de 120 pays.

Les mesures législatives et l'innovation en matière d'IA renforcent les efforts de lutte contre le scam

En plus d'utiliser les lois existantes pour traduire en justice les auteurs de ces scams, Google a également révélé sa collaboration avec des membres du Congrès pour faire passer trois projets de loi en attente visant à protéger les citoyens américains contre les scams.

L'un vise à permettre aux États d'utiliser des subventions fédérales pour enquêter sur les fraudes financières et les scams ciblant les retraités, tandis qu'un autre créerait un groupe de travail chargé d'étudier comment bloquer les appels automatisés provenant d'un autre pays avant qu'ils n'atteignent les Américains. Le troisième créerait une stratégie nationale pour s'attaquer aux sites frauduleux. Ces sites massifs attirent des personnes d'autres pays pour les faire participer à des scams en ligne dans des domaines aussi variés que les relations amoureuses ou les investissements financiers.

Enfin, Google a également ajouté à sa plateforme la capacité d'exploiter l'intelligence artificielle (IA) pour détecter et signaler les messages courants de scam impliquant, par exemple, des frais de péage ou des livraisons de colis.

Pression croissante pour lutter contre les scams en ligne

Il est trop tôt pour connaître l'impact de tous ces efforts sur la sécurité d'Internet pour le citoyen lambda, mais un message est envoyé, en particulier aux fournisseurs de services Internet et de cloud qui pourraient un jour se retrouver accusés de violation des lois RICO s'il était prouvé qu'ils savaient que leurs services étaient utilisés par des cybercriminels.

La triste réalité est que, même s'il faut déployer des efforts pour déterminer à qui appartient l'infrastructure informatique utilisée pour lancer ces scams, ce n'est pas impossible. Il s'agit d'avoir la volonté nécessaire non seulement pour informer les fournisseurs de ces services de la manière dont ils sont utilisés à mauvais escient, mais aussi pour leur faire comprendre qu'ils seront tenus pour responsables.