Un boîtier espion utilisé dans Paris pour envoyer des milliers de SMS d'arnaque

Le 24/04/2023 à 15h37

Plusieurs centaines de milliers d'utilisateurs de smartphone ont reçu de faux messages envoyés aux couleurs de l’Assurance Maladie. Les escrocs ont utilisé un appareil normalement réservé aux forces de l'ordre.

Récupérer les numéros de téléphone de milliers de passants dans la rue à l’aide d’un simple boîtier positionné dans une voiture: c’est le procédé utilisé par des escrocs 2.0. Plusieurs conducteurs de ces véhicules voleurs de coordonnées ont ainsi été retrouvés par des policiers parisiens, comme le rapporte une enquête de Libération.

Les recherches ont guidé les autorités vers une entreprise française baptisée Scion Data Agency. Elle aurait ainsi récupéré des centaines de milliers de numéros de téléphone grâce à cet outil appelé IMSI-catcher, capable d’aspirer les données d’un smartphone. Un appareil normalement réservé aux forces de l'ordre, mais qui est proposé par de nombreux sites de vente en ligne chinois pour quelques milliers d'euros.

Menaces de cambriolage

Le processus d’escroquerie se fait ainsi en deux étapes: la première via la fréquence 4G, qui permet de récupérer les numéros, et la deuxième via la fréquence 2G qui offre la possibilité d’envoyer les messages frauduleux. En se baladant dans les rues de Paris, les escrocs détectaient des milliers de numéros de téléphone aux alentours de leur véhicule, les "arrosant" aussitôt d'autant de SMS.

Ces messages frauduleux, attribués à l’Assurance Maladie, étaient d’ailleurs suivis d’appels de faux conseillers bancaires qui affirmaient que le SMS reçu quelques minutes avant était bien un faux et qu’il fallait alors faire opposition. Les personnes arnaquées étaient alors redirigées vers un complice, faux policier, qui indiquait qu’un cambriolage était possible et que les objets de valeur devaient rapidement être mis en sécurité. Plusieurs victimes ont alors remis à un faux coursier bijoux et cartes bleues.

Enquête ouverte par la Cnil

L’enquête de Libération rapporte ainsi que plus de 240.000 clients d’Orange ont été victimes de ces SMS frauduleux, entre septembre 2022 et février 2023. Une opération qui a toutefois touché des abonnés chez tous les opérateurs téléphoniques. Auprès de Tech&Co, Orange confirme avoir déposé plainte en octobre 2022, après les signalements de plusieurs clients. Lors de l'aspiration de leur numéro, ces derniers pouvaient voir leur connexion au réseau interrompue pendant quelques secondes ou quelques minutes.

"Orange a également collaboré très activement avec les services d’investigation de la Police et de la Gendarmerie. Cette implication ayant permis de faire avancer l’enquête, et de procéder aux arrestations" ajoute Orange, toujours auprès de Tech&Co.

Interrogés par la police, les deux entrepreneurs à l'origine de Scion Data Agency ont plaidé la bonne foi et indiqué avoir été auditionnés par la Cnil, puisque ce dispositif d'IMSI-catcher (eux indiquent qu'il s'agit d'un "cell broadcaster", qui ne fait qu'envoyer de la donnée) serait obligatoire pour les Etats afin de prévenir les populations en cas d'alertes d'urgence. Problème: l'autorité indépendante a démenti tout contact avec l'entreprise, et a même ouvert une procédure de contrôle.