Évitez cette fraude Google Meet qui se cache derrière un faux client
Méfiez-vous de cette fraude qui circule dans les milieux professionnels. Ça ne commence pas par un simple spam, mais bien par un client potentiel qui veut faire une rencontre sur Google Meet. Ce dernier cherche à ce que vous ouvriez un document malveillant dans le but de voler votre compte Google et vos informations bancaires.
C’est le scénario raconté par un professionnel dont je suis les publications sur LinkedIn. Il explique avoir été approché par un client potentiel qui souhaitait discuter d’un projet.
Le fraudeur ne s’est pas contenté d’envoyer un courriel douteux: il a échangé avec lui, planifié une rencontre et participé à un véritable appel vidéo avant de lui tendre son piège.
Il ne s’agissait pas d’une fausse vidéo créée avec l’intelligence artificielle ni d’une faille dans Google Meet. La rencontre servait simplement à gagner sa confiance avant de le diriger vers la fausse page de connexion.
Comment cette fraude Google Meet commence-t-elle?
La fraude commence par une demande professionnelle qui n’a rien de particulièrement louche. Le faux client connaît les services de l’entreprise et propose un projet qui semble tout à fait logique.
Il emprunte ensuite le nom et la photo d’une vraie personne. Le scénario est tellement crédible que, même si on fait une recherche sur LinkedIn par prudence, on trouve un profil convaincant et une entreprise qui existe réellement.
Le problème, c’est que cette recherche confirme seulement que la personne existe. Elle ne prouve pas que c’est bien elle qui nous écrit ou qui nous invite à la rencontre.
Une véritable invitation Google ne garantit pas l’identité du client
Le faux client utilise ensuite les véritables outils de Google pour planifier la rencontre. L’invitation Google Agenda et le lien Google Meet peuvent donc être parfaitement authentiques.
Ça confirme seulement que les services de Google ont été utilisés. Ça ne confirme pas l’identité ni les intentions de la personne qui a créé l’invitation.
Dans le cas raconté sur LinkedIn, une personne était même présente dans la rencontre. Elle échangeait par clavardage et prétendait terminer un autre appel, ce qui rendait le scénario encore plus crédible.
Le piège se cache dans le document partagé
Pendant la rencontre, le faux client demande à sa cible de consulter les documents du projet.
Le lien ouvre un site externe qui imite un service de stockage de fichiers. Lorsqu’on tente d’accéder au document, une fenêtre ressemblant à une connexion Google apparaît.
Le logo, les couleurs et la présentation peuvent sembler convaincants. L’adresse affichée dans le navigateur révèle toutefois que la page n’appartient pas à Google.
Le document n’est donc qu’un prétexte. Le véritable objectif est de nous faire inscrire notre adresse courriel et notre mot de passe sur une page contrôlée par le fraudeur.
La fausse page réclame même une carte de crédit
Dans le cas raconté sur LinkedIn, la fausse page allait même jusqu’à demander une carte de crédit pour prétendument confirmer l’identité de la personne.
Google ne vous demandera jamais ces renseignements dans le contexte de l’ouverture d’un document partagé par un client.
Comment reconnaître une fausse connexion Google?
Une page peut reprendre le logo, les couleurs et l’apparence de Google sans réellement lui appartenir. Avant d’y inscrire votre mot de passe, vérifiez surtout l’adresse complète affichée dans votre navigateur.
La véritable page de connexion de Google utilise le domaine accounts.google.com. Si le nom de domaine est différent, n’y inscrivez aucun renseignement, même si la page semble parfaitement reproduite.
Une autre fraude visant les comptes Gmail montre d’ailleurs à quel point une fausse page de connexion Google peut paraître convaincante.
Les signes qui doivent vous alerter
Fermez la page si le document partagé :
- réclame votre mot de passe Google sur un autre domaine;
- demande une carte de crédit pour ouvrir le document;
- vous pousse à agir rapidement;
- tente de vous faire télécharger un logiciel ou une mise à jour.
Un client peut utiliser un service autre que Google Drive pour partager ses fichiers. Le simple fait d’arriver sur un site externe ne signifie donc pas automatiquement qu’il s’agit d’une fraude.
Le signal d’alarme apparaît lorsque ce site prétend avoir besoin du mot de passe de votre compte Google pour vous donner accès au document.
Ce que le fraudeur peut voler avec votre compte Google
La fausse page peut chercher à récolter votre mot de passe, mais également un code temporaire de double authentification.
Certaines techniques d’hameçonnage peuvent utiliser ces renseignements immédiatement pour ouvrir une session. La double authentification demeure essentielle, mais vous ne devriez jamais transmettre votre code à une autre personne.
Un compte Google compromis peut notamment donner accès à :
- vos courriels Gmail;
- vos fichiers Google Drive;
- vos contacts;
- vos renseignements confidentiels;
- certains comptes associés à votre adresse;
- vos services professionnels Google Workspace.
Le fraudeur pourrait ensuite utiliser votre véritable compte pour envoyer des messages plus crédibles à vos collègues, à vos clients ou à vos proches.
Que faire si un document partagé vous paraît frauduleux?
Fermez d’abord la page sans y inscrire de renseignements et sans télécharger quoi que ce soit.
Demandez ensuite à votre interlocuteur de vous envoyer le document autrement. S’il insiste pour que vous utilisiez son lien ou sa méthode de connexion, mettez fin à la rencontre.
Vous pouvez aussi communiquer avec la personne ou son entreprise à l’aide de coordonnées trouvées par vous-même. N’utilisez pas l’adresse courriel, le numéro de téléphone ou le lien fourni dans le message douteux.
Que faire si vous avez donné votre mot de passe ou votre carte de crédit?
Changez immédiatement votre mot de passe Google à partir des paramètres officiels du compte, puis vérifiez les connexions et les appareils suspects. Notre chronique vous explique comment vérifier si votre compte Google ou Gmail a été piraté et déconnecter les appareils inconnus.
Si vous avez fourni votre carte de crédit, communiquez sans attendre avec votre institution financière pour la faire bloquer ou remplacer, puis surveillez vos transactions. Consultez également notre guide pour savoir quoi faire et qui contacter lorsqu’on est victime d’une fraude.
Si vous avez aussi transmis un code de double authentification, prévenez rapidement votre responsable informatique dans le cas d’un compte professionnel.
Si votre problème concerne plutôt des appels non sollicités, on vous explique aussi comment empêcher des inconnus de vous appeler sur Google Meet.
Ce réglage limite les appels spontanés, mais ne permet pas de vérifier l’identité d’un client avec qui vous avez accepté une rencontre.
Une vraie rencontre peut tout de même cacher une fraude
Ce scénario provient d’un témoignage publié sur LinkedIn. Rien ne permet actuellement d’affirmer qu’une vaste campagne utilisant exactement cette méthode circule au Québec.
Il démontre toutefois jusqu’où un fraudeur peut aller pour gagner notre confiance : utiliser une identité réelle, organiser un véritable rendez-vous et passer par les outils officiels de Google avant de présenter son piège.
Une invitation Google authentique confirme seulement que le service de Google a été utilisé. Avant d’inscrire un mot de passe, un code ou des renseignements bancaires, vérifiez toujours l’adresse exacte du site qui vous les demande.
