Fraudes et atteintes aux personnes
Particuliers et entreprisesArnaque au faux support technique
Tech support scam
Une fausse alerte sert de prétexte pour prendre le contrôle de votre appareil.
Je pense être concerné : que faire ?
Comprendre et agir
Découvrez le piège à partir d’un exemple, puis les gestes que vous pouvez faire. Vous pouvez suivre cette lecture sans connaissances en informatique.
Une situation concrète
Une page affiche une alerte sonore : votre ordinateur serait infecté. Un numéro invite à joindre immédiatement un technicien. Au téléphone, celui-ci demande d’installer un outil de prise en main et de payer une intervention. La peur de perdre vos fichiers transforme une fausse alerte de navigateur en véritable accès à votre machine.
Comment cela fonctionne
L’escroc invente ou exagère un problème sur votre appareil pour vous vendre une intervention, vous faire payer ou prendre le contrôle à distance. Son alerte peut reprendre le nom d’un éditeur connu. Pourtant, une page web ordinaire ne peut pas examiner entièrement votre ordinateur au seul motif que vous l’avez ouverte. Le logiciel de prise en main à distance peut être un vrai outil d’assistance : c’est l’accès accordé à l’imposteur qui vous met en danger.
- Une alerte fait peur
La page invente un incident urgent.
- Un faux technicien intervient
Il obtient paiement ou accès distant.
- L’accès peut durer
Les données et paramètres deviennent exposés.
Les signes qui doivent attirer l’attention
- Une page bloque la navigation et impose un numéro d’assistance.
- Un interlocuteur vous demande de payer pour supprimer une menace qu’il vient lui-même d’annoncer.
- Il réclame un accès distant ou l’ouverture de votre banque pendant la session.
Si vous remarquez l’un de ces signes, vérifiez la situation. Un indice isolé ne suffit pas à prouver qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
Fermez la fausse alerte et contactez votre assistance habituelle. N’appelez pas le numéro affiché dans la page et ne donnez pas la main à cet interlocuteur.
Si vous êtes responsable du service ou de l’organisation
Rendez les coordonnées du vrai support faciles à retrouver. Limitez les outils de prise en main aux solutions et intervenants autorisés, avec une trace des interventions.
Reconnaître le logiciel de téléassistance ne prouve pas que la personne qui l’utilise est un vrai technicien.
À vous de décider
Le technicien utilise un logiciel de téléassistance connu. Cela prouve-t-il qu’il est légitime ?
Prenez un moment pour répondre et expliquer votre choix, puis ouvrez la correction.
Voir la réponse expliquée
Non. Un escroc peut se servir d’un vrai outil d’assistance. Vérifiez qui intervient et pourquoi, même si vous reconnaissez le logiciel.
Analyser un cas technique
Ce cas s’adresse aux personnes qui développent, administrent ou analysent ces systèmes. Si vous découvrez le sujet, commencez par « Comprendre et agir ».
Étude de cas fictive
Une fausse alerte aboutit à une prise en main et à un paiement
Une page affiche une alerte en plein écran et un numéro d’assistance à appeler. Elle peut imiter un avertissement système pour faire peur et pousser à agir. Cette mise en scène ne prouve pas que le navigateur a détecté une infection.
Dans le cas présenté, l’appel est suivi d’une session de téléassistance R7, de l’activation d’un accès sans surveillance et d’un paiement de 249 €. Ces étapes ont des conséquences différentes : fermer la page met fin à l’affichage, mais ne supprime pas l’agent distant et n’annule pas le paiement.
Retrouver ce qui a été installé, les commandes ou transferts enregistrés et les comptes utilisés pendant la session. Les journaux de téléassistance ne décrivent pas toujours tout ce qui a été affiché à l’écran. Il faut demander à la personne si elle a ouvert sa banque, son gestionnaire de mots de passe ou des documents sensibles. Vérifier ensuite les comptes depuis un appareil sûr et traiter le paiement avec l’établissement concerné.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Numéro proposé
Page d’alerte vers Interlocuteur
Trace origine web
- Action
Installation demandée
Interlocuteur vers Agent distant
Trace tenant external17
- Action sur place
Accès sans surveillance
Agent distant
Trace session R7
- Action
Paiement demandé
Interlocuteur vers Paiement
Trace marchand M17
- Réponse
Transaction capturée
Paiement vers Interlocuteur
Trace référence P8
- Refus / blocage
Retrait et test de reconnexion
Agent distant
Trace accès refusé
Comment repérer cette attaque
Indices à rechercher
Rechercher l’enchaînement alerte web, appel et installation d’un outil distant sans demande de support reconnue, ainsi que les accès sans surveillance et opérations non autorisées.
Quelles informations comparer
Relier alerte du navigateur, appel, session distante et paiement à partir des heures, justificatifs et journaux disponibles. Vérifier séparément si un accès sans présence subsiste dans la configuration de l’outil.
Ce que ces indices ne permettent pas de conclure
Un journal de connexion ne révèle pas tout ce qui a été vu ou copié. Si aucune télémétrie ne couvrait la session, indiquer ce qui reste inconnu au lieu de conclure que le poste est intact.
Comment réagir
Couper l’accès distant, préserver les références et vérifier les persistances. Sécuriser les comptes accessibles depuis le poste et contacter l’établissement de paiement par son canal officiel pour les opérations contestées. Reprendre le diagnostic depuis un environnement fiable.
Vérifier la correction
L’équipe responsable du système peut utiliser ces contrôles dans un environnement de test autorisé. Vous pouvez lire et comprendre le cas sans effectuer ces manipulations.
- Vérifier que l’agent ne peut plus se reconnecter après redémarrage.
- Contrôler les facteurs, comptes et réglages modifiés pendant R7.
- Distinguer dans le bilan paiement confirmé, accès distant confirmé et données seulement potentiellement vues.
À vous de raisonner
La fausse alerte a disparu, mais un outil de téléassistance a été installé pendant l’appel. Quel accès faut-il encore vérifier ?
Quelle décision prendriez-vous, et sur quel indice vous appuieriez-vous ? Répondez avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Vérifiez que l’agent et son accès permanent ne permettent plus de reconnexion. Fermer la page ne les retire pas. Examinez aussi les comptes utilisés pendant la prise en main et traitez le paiement séparément : chaque étape a son propre effet.
Consulter les détails techniques
Les extraits permettent de s’exercer à lire les traces du cas. Si vous disposez des outils et des accès nécessaires, le guide de collecte vous aide aussi à rechercher ces informations.
Lire les extraits commentés (reconstitution fictive)
Ces extraits contiennent des valeurs fictives. Certains champs correspondent à ceux des outils documentés ; d’autres réunissent plusieurs sources pour faciliter l’explication. Vos propres exports pourront donc avoir une autre forme. Lisez d’abord les explications des champs, puis repérez-les dans les extraits.
unattended- Réglage d’accès persistant à vérifier dans l’outil ; ce n’est pas déductible de la seule durée d’une session.
captured- Paiement indiqué comme encaissé par la pièce du scénario, distinct de l’autorisation d’accès distant.
Trois systèmes de preuve
JournalAucun contenu de session privée ; les références permettent de demander les pièces complètes aux acteurs concernés.
browser origin=alerte-demo.example fullscreen=true displayed_phone=NUM_A
remote_agent installed=10:14 tenant=external17 session=R7
remote_audit R7 unattended_enabled=true file_transfer=unknown
payment reference=P8 merchant=M17 amount=249.00 status=captured
endpoint malware_verdict=none collection_scope=partialPréparer une collecte dans votre environnement
Utilisez les sources disponibles dans vos outils et auxquelles vous êtes autorisé à accéder. Vous pouvez comprendre la fiche sans posséder ces outils. Vérifiez que les journaux étaient activés pendant la période étudiée. Gardez l’export original avec son fuseau horaire et sa provenance dans un espace à accès restreint. Pour l’analyse, travaillez sur une copie dont vous avez retiré les secrets.
TeamViewer — connexions entrantes
- Où les trouver
- Si cet outil est impliqué : Connections_incoming.txt dans le dossier TeamViewer. Le journal applicatif détaillé peut compléter les heures et partenaires des connexions réussies.
- Quoi relever
- Sur le poste assisté, retrouver heure, durée et partenaire de la connexion si TeamViewer est l’outil installé. Relever aussi le produit et sa version pour demander le bon journal, sans supposer que tous les agents utilisent ce fichier.
- Accès et prérequis
- Accès au poste ou export autorisé par son administrateur. Un autre outil possède son propre format. L’existence d’une connexion ne fournit pas l’enregistrement de l’écran ni toutes les actions effectuées.
Windows — Microsoft Sysmon
- Où les trouver
- Observateur d’événements → Journaux des applications et des services → Microsoft → Windows → Sysmon → Operational, ou leur copie dans le collecteur central.
- Quoi relever
- Si le poste était équipé, rechercher installation et exécution de l’agent, processus enfants et connexions. Comparer les éléments observés à ce que l’utilisateur dit avoir autorisé.
- Accès et prérequis
- Sysmon doit avoir été installé et configuré avant les faits. L’événement réseau 3 est désactivé par défaut ; les filtres peuvent exclure des événements. L’événement 11 décrit une création de fichier, pas sa lecture.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Ces cas réels montrent où ce mécanisme a été observé. Les années indiquent quand les faits ont eu lieu. Chaque notice précise la source qui les relie à un groupe ou à une campagne.
- àGroupeScattered Spider / Octo Tempest
Le support et les identités comme portes d’entrée
Les attaquants imitent des contacts de confiance, appellent l’assistance et détournent des numéros de téléphone. Pour prendre le contrôle des comptes, ils associent hameçonnage, interception de connexions et pression pour faire accepter les validations MFA.
Ce qu’établit la source. Microsoft décrit Octo Tempest comme un périmètre recoupant Scattered Spider, 0ktapus et UNC3944. Ces noms de suivi ne sont pas nécessairement des synonymes exacts.
Consulter le rapport Octo Tempest crosses boundaries to facilitate extortion, encryption, and destructionMicrosoft · Publié le
Cette sélection ne couvre pas tous les incidents. Plusieurs acteurs peuvent utiliser une même technique. Les exemples fictifs de la fiche ne décrivent les actions d’aucun de ces groupes.
Si vous pensez être concerné
- Si seule la page a été affichée, fermez-la ; une fausse alerte ne prouve pas une infection.
- Si un accès distant a été accordé, interrompez-le, déconnectez le poste du réseau et faites vérifier ses modifications.
- Depuis un appareil fiable, sécurisez les comptes utilisés pendant l’accès et contactez la banque si un paiement ou des données bancaires sont concernés.
Pour comprendre votre situation et trouver de l’aide : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- Cybermalveillance — faux support technique — cybermalveillance.gouv.fr
- MITRE ATT&CK — Remote Access Software — attack.mitre.org
- Microsoft — escroqueries au support — support.microsoft.com
