MetaMask met en garde les utilisateurs d'Apple contre le phishing sur iCloud

MetaMask a averti les utilisateurs d’Apple de se méfier des attaques par hameçonnage le 17 avril après qu’un utilisateur d’iPhone se soit fait pirater 650 000 dollars en NFT et ApeCoin (APE).

Les clients MetaMask restent en alerte

Il y a plusieurs semaines, MetaMask s’est étendu à l’écosystème Apple. Cela permet aux utilisateurs d’acheter des actifs numériques avec Apple Pay. Les clients ont été autorisés à acheter des cryptomonnaies avec des cartes de débit ou de crédit, supprimant la nécessité d’envoyer des ETH à l’application à l’avance.

« Achetez des crypto sur iOS avec Apple Pay, plus de transparence lors de l’interaction avec les sites et support pour les transactions sans gaz lorsque cela est pertinent », a déclaré l’équipe derrière MetaMask.

Dans un récent tweet, cependant, le wallet de cryptomonnaies a averti les utilisateurs d’Apple qu’ils peuvent être victimes de phishing. MetaMask leur a conseillé de créer un mot de passe fort, sans quoi des malfaiteurs peuvent voler leurs fonds. De plus, Apple stocke par défaut le mot de passe sur iCloud lorsque la sauvegarde automatique des données des applications est activée.

🔒 If you have enabled iCloud backup for app data, this will include your password-encrypted MetaMask vault. If your password isn’t strong enough, and someone phishes your iCloud credentials, this can mean stolen funds. (Read on 👇) 1/3

— MetaMask 🦊💙 (@MetaMask) April 17, 2022

Il s’agit d’une faille de sécurité majeure. Elle permet aux attaquants de cibler les utilisateurs vulnérables avec des tactiques de phishing, en obtenant l’accès à leur portefeuille MetaMask.

En outre, le fournisseur de porte-monnaie cryptographique a partagé le processus de désactivation des sauvegardes automatiques d’applications sur les appareils Apple, ce qui peut empêcher de telles attaques.

Un utilisateur ayant tout perdu

Le 15 avril, un utilisateur de Twitter, Domenic Iacovone, s’est plaint d’avoir perdu tous les tokens non fongibles (NFT) de son portefeuille. Il s’agissait de trois Mutant Apes, trois Gutter Cats et de 100 000 dollars en ApeCoin. Tout savoir sur l’ApeCoin ici.

Iacovone dit avoir reçu un appel sur son téléphone signalé comme étant un numéro de la société Apple. Il n’a d’abord pas décroché, mais a rappelé puisque l’identifiant de l’appelant indiquait qu’il s’agissait d’un numéro d’Apple.

Cependant, l’appelant était un escroc utilisant un numéro usurpé. Il a demandé à Iacovone un code envoyé sur son téléphone en se faisant passer pour un représentant d’Apple. Iacovone a déclaré avoir perdu tout ce que contenait son portefeuille Metamask quelques secondes après avoir communiqué le code à l’escroc.

Explication de l’attaque

L’utilisateur de Twitter @Serpent, fondateur du système d’atténuation des menaces cryptographiques Sentinel, a expliqué le processus de l’attaque de phishing. Selon lui, l’attaquant a utilisé un spoofer d’identification de l’appelant. Cela a donné l’impression que l’appel provenait d’Apple. Il ne lui restait qu’à prétendre qu’il y avait une activité suspecte sur le compte.

L’escroc a ensuite demandé une réinitialisation du mot de passe de l’identifiant Apple de la victime. La victime a reçu un code pour la réinitialisation, et l’escroc lui a demandé ce code en prétendant qu’il s’agissait de vérifier l’identifiant Apple.

En réalité, l’escroc utilise le code pour réinitialiser le mot de passe de la victime. Il gagne ainsi accès au compte iCloud. Si les données de MetaMask sont stockées sur iCloud, ils peuvent y accéder et voler les biens des victimes.

Comme nous l’avons souligné dans cet article, une toute petite fraction de l’utilisation des cryptomonnaies est à des fins frauduleuses. Cependant, de nombreuses organisations classent toujours les cryptomonnaies comme une des principales sources de dangers pour les consommateurs. 

Il est vrai qu’une fois les barrières de sécurité passées, sur des wallets décentralisés comme Metamask tout est possible. C’est l’un des avantages des exchanges ou autres plateformes centralisées qui offrent une double ou triple sécurité. Cependant, comme toujours la faute vient de l’humain. C’est pourquoi il est important de rester très prudent sur internet.

Les utilisateurs de Metamask sont maintenant prévenus et il faut rappeler une fois de plus qu’il est très dangereux de divulguer toute information personnelle sans être sûr que l’on s’adresse aux autorités compétentes.