J'ai failli tomber dans un piège SIM

J’ai été la cible

Jeudi dernier à 15h15 CDT, j’ai reçu un SMS provenant d’un short code Venmo : “Votre compte est en danger. Vérifiez dès maintenant.” Cinq minutes plus tard, un appel est arrivé depuis un numéro du Texas — une voix calme prétendant être le support Coinbase. Il parlait comme un expert : méthodique, empathique, urgent. Il connaissait mon nom complet, les quatre derniers chiffres de mon NSS et même mon historique de transactions. J’ai failli le croire.

Le manuel de la tromperie

Ils n’ont pas forcé mon portefeuille. Ils ont construit la confiance. Premier : alerte SIM via SMS (short code falsifié). Puis : identité appels falsifiée (numéro local imité). Ensuite : email fake Coinbase depuis [email protected] — usurpation SSL crédible. Troisième : «Coinbase Vault» — nom légitime détourné pour vault-coinbase.com (enregistré il y a un mois). Même le certificat SSL semblait authentique. Quatrième : ils ont cité SafePal — marque légendaire de portefeuille froid — comme appât. Stratégie classique d’ingénierie sociale : légitimité feinte. Cinquième : ils ont invoqué l’urgence — «verrouillage du compte en 24h», «couverture FDIC terminée». Mais les actifs crypto ne sont pas assurés FDIC.

Pourquoi cela a fonctionné

Je suis formé pour détecter ces pièges… mais leur précision était chirurgicale. Ils ont mélangé des données réelles (mon email) avec une fiction plausible (Coinbase Vault). Ils ont cité des protocoles décrits dans des whitepapers — portefeuilles multi-signatures, API révocations — et les ont rendus crédibles comme des conseils internes. J’ai effectué une recherche WHOIS sur vault-coinbase.com pendant l’appel — et découvert que ce domaine était enregistré sous une entité singapourienne sans historique. Le certificat SSL ? Émis par Let’s Encrypt… mais cela ne garantit pas la légitimité.

Le protocole de défense réel

Ne répondez jamais aux appels ou SMS non sollicités — même s’ils connaissent votre nom. Activez l’authentification à deux facteurs sur tous les échanges ; exigez uniquement des confirmations basées sur applications. Utilisez un gestionnaire de mots de passe — ils bloquent automatiquement les tentatives de connexion sur des domaines falsifiés. Stockez >90 % de vos actifs dans des portefeuilles froids multi-signatures ; ne partagez jamais vos phrases mnémotechniques via aucun canal. Bookmark les URL officielles — ne cliquez jamais sur les liens provenant de SMS ou emails — même s’ils paraissent authentiques.

Vous n’êtes pas en sécurité tant que vous n’êtes pas suspicieux

L’attaque la plus dangereuse n’est pas le malware—c’est l’autorité fabriquée. Quand votre formation devient votre aveuglement… vous avez déjà perdu.