Les bénéfices que procure Internet aujourd’hui dans le monde sont immenses : un accès à la communication pour tous, un accélérateur de croissance économique et la promotion de la libre expression. Mais comme toutes les technologies, il peut être abusivement utilisé à des fins malveillantes. Aujourd’hui, malgré les efforts des entreprises et des communautés de l’industrie du Web en matière de sécurité, l’usurpation d’identité, la fraude et le détournement de comptes e-mail personnels demeurent parmi les problèmes les plus fréquemment rencontrés.

Les fraudeurs profitent du fait que beaucoup d’internautes sont modérément familiers des technologies du web pour détourner leurs comptes personnels via des intrusions malveillantes ou des arnaques du type “phishing” visant à dérober leurs mots de passe, ou même à s’en servir pour pénétrer d’autres sites Internet. La plupart de ces "détournements" ne sont pas très ciblés. Ils visent avant tout à voler des identités, à acquérir des données financières, ou à envoyer des spams. Toutefois, certaines de ces attaques s’en prennent délibérément à des individus bien précis.

Grâce aux systèmes de sécurité et de détection de notre structure informatique “en nuage”*, nous avons récemment découvert une campagne frauduleuse dont l’objectif était de récolter des mots de passe d’utilisateurs, notamment en recourant au phishing. Cette campagne, qui semble provenir de Jinan en Chine, paraît avoir affecté des centaines de comptes Gmail personnels dont certains sont ceux de hauts fonctionnaires du gouvernement américain, d’activistes politiques chinois, de hauts fonctionnaires d’autres pays d'Asie (dont une majorité en Corée du Sud), de militaires et de journalistes.

L’objectif des auteurs était semble-t-il de surveiller le contenu des courriels des utilisateurs, en utilisant des mots de passe volés afin de changer les paramètres de transfert ou d’accès aux comptes piratés. (Gmail permet en effet si vous le souhaitez de transférer automatiquement vos courriels vers d’autres comptes, ainsi que d’ouvrir à d’autres l’accès à votre compte).

Google a détecté et interrompu cette campagne visant à capter les mots de passe des utilisateurs et à surveiller leurs courriels. Nous avons informé les victimes et sécurisé leurs comptes. Nous avons également notifié les autorités gouvernementales compétentes.

Il est important de souligner que nos systèmes internes n’ont pas été affectés - ces détournements de comptes ne résultent pas d’une quelconque faille de sécurité au sein de Gmail. Toutefois, nous sommes convaincus qu’une approche transparente et ouverte sur ces questions de sécurité pourra aider nos utilisateurs à mieux protéger leurs informations en ligne.

Voici donc quelques conseils pour améliorer la sécurité de vos données lorsque vous utilisez des produits Google :

  • Utilisez la fonction “Validation en deux étapes”. Cette fonctionnalité Gmail requiert un téléphone et un deuxième mot de passe pour l’accès à votre boîte mail, et a protégé certains comptes de cette attaque. Regardez cette vidéo pour en savoir plus.
  • Choisissez un mot de passe sûr, que vous n’utilisez pour aucun autre site. Voici une autre vidéo pour vous y aider.
  • N’entrez votre mot de passe qu’au sein des espaces clairement prévus à cet effet sur un domaine https://www.google.com . Nous ne vous demanderons en aucun cas de nous communiquer votre mot de passe par e-mail, ni même au sein d’un formulaire figurant dans un e-mail. Cette vidéo vous fournira plus d’informations à ce sujet.
  • Vérifiez que vos paramètres de messagerie Gmail ne comprennent aucune adresse de transfert suspecte (onglet “Transfert POP / IMAP”, Fig. 1) ou compte délégué (onglet “Comptes”, Fig.2).
Fig. 1

Fig. 2

Nous vous remercions vraiment de consacrer une dizaine de minutes pour effectuer ces mesures correctrices qui amélioreront votre sécurité en ligne et vous permettront de profiter d’Internet dans tout ce qu’il offre de meilleur, y compris la protection de vos données.


*Nous nous sommes également appuyés sur des signalements d’internautes ainsi que sur ce rapport externe pour dévoiler cette campagne frauduleuse.

Posté par Eric Grosse, Engineering Director, Google Security Team