Incident de la chaîne d’approvisionnement de Ledger
L’incident de la chaîne d’approvisionnement de Ledger s’est légèrement apaisé, mais les escrocs en profitent déjà. La société de sécurité blockchain SlowMist a émis une alerte concernant une campagne de faux « mise à jour du firmware Ledger » qui exploite les conséquences de l’incident CryptoBilis survenu le 9 octobre.
Conseils de sécurité
Son conseil est clair : ne jamais cliquer sur des liens pour mettre à jour, et ne jamais entrer votre phrase de récupération nulle part.
La position de Ledger reste inchangée : elle ne vous appellera jamais, ne vous enverra jamais de message direct, ni ne vous demandera votre phrase de récupération de 24 mots. Les mises à jour du firmware doivent se faire via l’application officielle Ledger Live sur votre propre appareil, et non par des liens dans des e-mails. Si un message suscite un sentiment d’urgence, supprimez-le immédiatement.
Quiconque a entré sa phrase de récupération sur un site douteux doit considérer que son portefeuille est compromis et transférer ses fonds vers un nouvel appareil avec une nouvelle graine sans tarder.
La campagne de phishing
SlowMist indique que la campagne semble très réaliste. Des captures d’écran montrent un e-mail soigné se faisant passer pour « L’équipe Ledger », affirmant qu’une mise à jour du firmware est disponible pour votre appareil.
Le piège est bien conçu : il indique que la mise à jour est essentielle pour se protéger contre les menaces croissantes de logiciels espions, citant des incidents récents en Malaisie, des applications tierces non autorisées et un vol potentiel de fonds. L’e-mail liste les appareils concernés : Nano S Plus, Nano X, Flex, Stax et Nano Gen5.
Il promet une protection améliorée contre les logiciels espions et les applications malveillantes, ainsi que des mesures de sécurité renforcées contre l’accès non autorisé et des correctifs de sécurité importants.
Le piège final
En bas de l’e-mail se trouve un bouton noir « Mettre à jour maintenant« . Cliquer dessus mène à une fausse page de « vérification authentique » qui imite le véritable processus de vérification de Ledger. Elle guide les victimes à travers la sélection de l’appareil et inclut même un message recommandant des achats via le réseau de revendeurs de Ledger.
C’est un emprunt cynique au conseil que les utilisateurs entendent depuis l’incident. L’étape finale est cruciale : une demande pour votre phrase de récupération. Les phishers n’ont pas besoin d’inventer une histoire ; Ledger leur en a fourni une.
Les utilisateurs ont été invités à vérifier leurs appareils, à mettre à jour les signataires compromis et à suivre les conseils officiels. Un e-mail de « mise à jour de sécurité » arrivant au milieu de cette panique ne semble pas suspect pour beaucoup. Cela semble être la prochaine étape logique. Ledger avait averti que les escrocs pourraient exploiter la confusion entourant l’incident, et cette prédiction s’est réalisée en environ une semaine.
