# Arnaque au support technique

L'arnaque au support technique, est un type de fraude dans lequel un escroc prétend offrir un service d'assistance technique légitime. Les victimes contactent les arnaqueurs de diverses manières, souvent via de fausses fenêtres contextuelles ressemblant à des messages d'erreur ou via de faux « numéros d'assistance » annoncées sur les sites Web appartenant aux fraudeurs.
Les fraudeurs au support technique utilisent l'ingénierie sociale et diverses escroqueries pour persuader leur victime de la présence de problèmes sur leur ordinateur ou leur appareil mobile, comme une infection par un logiciel malveillant, alors qu'il n'y a aucun problème avec l'appareil de la victime. L'escroc persuadera ensuite la victime de payer pour résoudre les « problèmes » fictifs qu'il prétend avoir découverts. Le paiement est effectué au profit de l'escroc par des moyens difficiles à retracer et qui comportent moins de protections des consommateurs, ce qui pourrait permettre à la victime de récupérer son argent, généralement au moyen de cartes cadeaux.
Des escroqueries au support technique se produisent depuis 2008. Une étude de 2017 sur les escroqueries au support technique révèle que parmi les adresses IP géolocalisées, 85 % pouvaient être retracées en Inde, 7 % aux États-Unis et 3 % au Costa Rica. Les recherches sur les escroqueries au support technique révèlent que la génération Y et la génération Z sont les plus exposés à ce type d'escroqueries, cependant, ce sont les personnes âgées qui tombent le plus dans le piège de ces escroqueries et perdent de l’argent. Les escroqueries au support technique sont désignées par Norton comme la principale menace d'hameçonnage pour les consommateurs en octobre 2021. Microsoft note que 60 % des consommateurs ayant participé à l'enquête avaient été exposés à une arnaque au support technique au cours des douze mois précédents. Les réponses aux escroqueries au support technique comprennent les poursuites judiciaires contre les entreprises responsables de la gestion de centres d'appels frauduleux et les croques-escroc.

## Origine et répartition

Les premières escroqueries au support technique sont enregistrées en 2008$^,$. Des escroqueries au support technique sont observées dans divers pays, notamment aux États-Unis, Canada, Royaume-Uni, Irlande, Australie$^,$, Nouvelle-Zélande, Inde et Afrique du Sud$^,$.
Une étude de 2017 sur les escroqueries au support technique publiée lors du symposium NDSS révèle que, parmi les escroqueries au support technique dans lesquelles les adresses IP impliquées pouvaient être géolocalisées, 85 % pouvaient être retracées à des emplacements en Inde, 7 % à des emplacements aux États-Unis et 3 % vers le Costa Rica. L’Inde compte des millions d’ anglophones se disputant relativement peu d’emplois. Une municipalité comptant 114 emplois reçois 19 000 candidatures. Ce niveau de chômage élevé constitue une incitation aux emplois d’escroquerie technologique, qui sont souvent bien payés. De plus, les escrocs exploitent les niveaux de chômage en proposant des emplois à des personnes qui cherchent désespérément un emploi. De nombreux candidats ne réalisent pas qu'ils postulent pour des entreprises frauduleuses et sont formés pour devenir escrocs dans le support technique, mais beaucoup décident de rester après avoir découvert la nature de leur travail, car ils estiment qu'il est trop tard pour quitter leur emploi et changer de carrière. Les fraudeurs sont obligés de choisir entre conserver leur emploi ou perdre leur emploi. Certains escrocs se convainquent qu'ils ciblent des personnes fortunées qui ont de l'argent de côté, ce qui justifie leur vol, tandis que d'autres considèrent que leur travail consiste à générer de « l'argent facile »$^,$.

## Opération

Les escroqueries au support technique s'appuient sur l'ingénierie sociale pour persuader les victimes que leur appareil est infecté par un logiciel malveillant$^,$. Les fraudeurs utilisent diverses astuces de confiance pour persuader la victime d'installer un logiciel de bureau à distance, avec lequel le fraudeur peut ensuite prendre le contrôle de l'ordinateur de la victime. Avec cet accès, l'escroc peut alors lancer divers composants et utilitaires Windows (tels que l'Observateur d'événements), installer des utilitaires tiers (tels qu'un logiciel malveillant) et effectuer d'autres tâches dans le but de convaincre la victime que l'ordinateur présente des problèmes critiques. problèmes auxquels il faut remédier, comme une infection par un virus. Les fraudeurs ciblent diverses personnes, bien que les recherches de Microsoft suggèrent que la génération Y (âgée de 24 à 37 ans) et les personnes faisant partie de la génération Z (âgées de 18 à 23 ans) sont les plus exposées aux escroqueries au support technique, la Federal Trade Commission constate que les personnes âgées (60 ans et plus) sont plus susceptibles de perdre de l'argent à cause des escroqueries liées au support technique$^,$. L'escroc incitera la victime à payer afin que les « problèmes » puissent être résolus$^,$$^,$.

### Initiation

Les escroqueries au support technique peuvent démarrer de différentes manières. Certaines variantes sont lancées via des publicités pop-up sur des sites Web infectés ou via cybersquatting de sites Web connus. La victime voit des fenêtres contextuelles ressemblant à des messages d'erreur légitimes tels qu'un écran bleu de la mort$^,$ et gel de son navigateur Web$^,$. La fenêtre contextuelle demande à la victime d'appeler les fraudeurs via un numéro de téléphone pour corriger « l'erreur ». Les escroqueries au support technique peuvent également être lancées via des appels à froid. Il s'agit généralement d'appels automatisés qui prétendent être associés à un tiers légitime tel que Microsoft ou Apple$^,$. Les escroqueries au support technique peuvent également attirer des victimes en achetant des publicités par mots clés sur les principaux moteurs de recherche pour des expressions telles que « support Microsoft ». Les victimes qui cliquent sur ces publicités sont redirigées vers des pages Web contenant les numéros de téléphone des fraudeurs.

### Astuces de confiance

Une fois qu'une victime a contacté l'escroc, celui-ci lui demandera généralement de télécharger et d'installer un programme d'accès à distance tel que TeamViewer, AnyDesk, LogMeIn ou GoToAssist. L'escroc convainc la victime de lui fournir les informations d'identification requises pour lancer une session de contrôle à distance, lui donnant ainsi le contrôle total du bureau de la victime.
Après avoir obtenu l'accès, l'escroc tente de convaincre la victime que l'ordinateur souffre de problèmes qui doivent être réparés, le plus souvent en raison d'une activité de piratage. Les fraudeurs utilisent plusieurs méthodes pour déformer le contenu et la signification des outils Windows et des répertoires système courants comme preuve d'activités malveillantes, telles que des virus et autres logiciels malveillants. Ces astuces sont destinées à cibler les victimes qui ne connaissent pas l’utilisation réelle de ces outils, comme les utilisateurs inexpérimentés et les personnes âgées$^,$$^,$. L'escroc incite ensuite la victime à payer pour ses services ou logiciels, qui, selon lui, sont conçus pour « réparer » ou « nettoyer » l'ordinateur, mais qui sont en réalité des logiciels malveillants qui l'infectent ou des logiciels qui causent d'autres dommages, ou ne font rien du tout.
* L'escroc peut diriger les utilisateurs vers l'Observateur d'événements de Windows, qui affiche un fichier journal de divers événements à utiliser par les administrateurs système pour résoudre les problèmes. Bien que de nombreuses entrées de journal soient des notifications relativement inoffensives, l'escroc peut prétendre que les entrées de journal étiquetées comme avertissements et erreurs sont la preuve d'une activité de logiciel malveillant ou que l'ordinateur est en train d'être corrompu et doit être « réparé »$^,$.
* L'escroc peut montrer à la victime des dossiers système contenant des fichiers aux noms inhabituels, tels que les dossiers Prefetch et Temp de Windows, et prétendre que ces fichiers sont la preuve de logiciels malveillants sur l'ordinateur de la victime. L'escroc peut ouvrir certains de ces fichiers dans le Bloc-notes, où le contenu du fichier est rendu sous forme de mojibake. L'escroc prétend que le logiciel malveillant a corrompu ces fichiers, provoquant un résultat inintelligible. En réalité, les fichiers de Prefetch sont généralement des fichiers binaires intacts et inoffensifs utilisés pour accélérer certaines opérations.
* L'escroc peut prétendre que les services normalement désactivés ne devraient pas l'être, alors que tous les services n'ont pas besoin d'être activés.
* L'escroc peut utiliser à mauvais escient les outils d'invite de commande pour générer une sortie suspecte, par exemple en utilisant la commande tree ou dir /s qui affiche une liste complète de fichiers et de répertoires. L'escroc peut prétendre que l'utilitaire est un scanner de logiciels malveillants et, pendant que l'outil est en cours d'exécution, l'escroc entrera un texte prétendant être un message d'erreur (tel que « brèche de sécurité… chevaux de Troie trouvés ») qui apparaîtra une fois le travail terminé, ou dans un document vierge du Bloc-notes.
* L'escroc peut présenter à tort les valeurs et les clés stockées dans le registre Windows comme étant malveillantes, comme des clés inoffensives dont les valeurs sont répertoriées comme n'étant pas définies.
* La fonction Windows « Envoyer vers » est associée à un identifiant globalement unique. La sortie de la commande assoc, qui répertorie toutes les associations de fichiers sur le système, affiche cette association avec la ligne ZFSendToTarget=CLSID\{888DCA60-FC0A-11CF-8F0F-00C04FD7D062} ; ce GUID est le même sur toutes les versions de Windows. L'escroc peut prétendre qu'il s'agit d'un identifiant unique utilisé pour identifier l'ordinateur de l'utilisateur, avant de lire l'identifiant pour « vérifier » qu'il s'agit d'une société d'assistance légitime disposant d'informations sur l'ordinateur de la victime, ou prétendre que le CLSID répertorié est en réalité un « ID de sécurité de la licence informatique » qui doit être renouvelé$^,$$^,$.
* L'escroc peut prétendre que les « problèmes » allégués sont le résultat de garanties matérielles ou logicielles expirées, par exemple les clés de produit Windows, et inciter la victime à payer pour un « renouvellement »$^,$.
* L'escroc peut empêcher la victime de visualiser son écran, en prétendant que cela est le résultat d'un logiciel malveillant ou d'une analyse en cours, et utiliser ce temps pour rechercher des informations sensibles dans les fichiers de la victime, tenter de pénétrer dans les comptes de la victime avec des informations d'identification volés ou stockés ou activer la webcam pour voir le visage de la victime.
* L'escroc peut exécuter la commande netstat dans une fenêtre de terminal/commande, qui affiche les adresses IP locales et étrangères. L'escroc indique alors à la victime que ces adresses appartiennent à des pirates informatiques qui ont accédé à son ordinateur$^,$$^,$.
* L'escroc peut prétendre qu'un processus Windows légitime tel que rundll32.exe est un virus. Souvent, l'escroc recherche sur le Web un article sur le processus Windows et fait défiler jusqu'à une section indiquant que le nom du processus peut également éventuellement faire partie d'un logiciel malveillant, même si l'ordinateur de la victime ne contient pas ce logiciel malveillant.

### Paiement et impact

Le mode de paiement privilégié dans une arnaque de support technique est la carte cadeau. Les cartes-cadeaux sont favorisées par les escrocs parce qu'elles sont facilement disponibles et bénéficient de moins de protections des consommateurs pouvant permettre à la victime de récupérer son argent. En outre, l'utilisation de cartes-cadeaux comme paiement permet aux fraudeurs d'extraire de l'argent rapidement tout en restant anonymes$^,$. Les fraudeurs de soutien technique demandent aussi des paiements sous forme de crypto-monnaie, de chèques et de virements bancaires directs effectués par l'intermédiaire d'un centre de compensation automatisé (ce dernier ne donne aux victimes que 60 jours pour récupérer leurs fonds).
Si une victime refuse de suivre les instructions de l'escroc ou de la payer, les escrocs ont recours à des insultes et à des menaces$^,$ pour obtenir le paiement. Les menaces sont formulées aux victimes ou à leurs familles et vont de l'extorsion, à des crimes graves tels que le viol et le meurtre. Le canadien Jakob Dulisse rapporte à CBC qu'après avoir demandé à l'escroc pourquoi il avait été ciblé, celui-ci a répondu par une menace de mort ; « Les Anglo qui voyageaient dans le pays » (Inde) étaient « découpés en petits morceaux et jetés dans la rivière »$^,$. Il est également connu que les fraudeurs bloquent l'accès des victimes non coopératives à leur ordinateur à l'aide de l'utilitaire « syskey »(présent uniquement dans les versions Windows antérieures à Windows 10) ou d'applications tierces qu'ils installent sur l'ordinateur de la victime$^,$$^,$, et de supprimer les documents et programmes essentiels au fonctionnement de l'ordinateur de la victime si celle-ci ne reçoit pas de paiement.
Microsoft commande une enquête à YouGov dans 16 pays en juillet 2021 pour étudier les escroqueries au support technique et leur impact sur les consommateurs. L'enquête révèle qu'environ 60 % des consommateurs ayant participé ont été exposés à une escroquerie au support technique au cours des 12 derniers mois. Les victimes déclarent avoir perdu en moyenne 200 USD face aux escrocs et nombre d'entre elles ont été confrontées à des interactions répétées de la part d'autres escrocs après avoir été arnaquées avec succès. Norton nomme les escroqueries au support technique comme la principale menace d'hameçonnage pour les consommateurs en octobre 2021, après avoir bloqué plus de 12,3 millions d'URL frauduleuses au support technique entre juillet et septembre 2021.

## Réponses

Des poursuites judiciaires sont engagées contre certaines entreprises procédant à des escroqueries au support technique. En décembre 2014, Microsoft intente une action en justice contre une société basée en Californie pour « utilisation abusive du nom et des marques de Microsoft » et « création de problèmes de sécurité pour les victimes en accédant à leurs ordinateurs et en installant des logiciels malveillants, y compris un outil de récupération de mots de passe qui pourrait fournir accès aux informations personnelles et financières ». En décembre 2015, l'État de Washington poursuit la société iYogi pour avoir escroqué les consommateurs et fait de fausses déclarations afin d'effrayer les utilisateurs et de les inciter à acheter le logiciel de diagnostic d'iYogi. iYogi a également été accusé d'avoir prétendu à tort qu'ils étaient affiliés à Microsoft, Hewlett-Packard et Apple.
En septembre 2011, Microsoft exclu son partenaire Gold Comantra de son réseau de partenaires Microsoft à la suite d'accusations d'implication dans des escroqueries au support technique par appel à froid. Cependant, la facilité avec laquelle les entreprises effectuant des escroqueries au support technique peuvent être lancées rend difficile la prévention de celles-ci.
Les principaux moteurs de recherche tels que Bing et Google ont pris des mesures pour restreindre la promotion de faux sites Web d'assistance technique via la publicité par mots clés$^,$. Le réseau publicitaire appartenant à Microsoft, Bing Ads (qui assure la vente d'annonces sur les moteurs de recherche Bing et Yahoo!) a modifié ses conditions d'utilisation en mai 2016 pour interdire la publicité de services d'assistance technique tiers ou de publicités prétendant « fournir un service » qui ne peut être fourni que par le propriétaire réel des produits ou services annoncés"$^,$. Google annonce un programme de vérification en 2018 dans le but de limiter la publicité pour le support technique tiers aux entreprises légitimes.

### Appâts frauduleux

Les fraudeurs au support technique sont régulièrement ciblés par des escroqueries, des individus cherchant à sensibiliser à ces escroqueries en téléchargeant des enregistrements sur des plateformes comme YouTube, à causer des désagréments aux fraudeurs en leur faisant perdre leur temps et à protéger les victimes potentielles$^,$.
Des escrocs avancés peuvent infiltrer l'ordinateur de l'escroc et potentiellement le désactiver en déployant des RAT, des attaques par déni de service distribué et des logiciels malveillants destructeurs. Les fraudeurs peuvent également tenter d'inciter les escrocs à révéler leurs pratiques contraires à l'éthique en laissant des fichiers factices ou des logiciels malveillants déguisés en informations confidentielles, telles que des informations de carte de crédit/débit et des mots de passe sur une machine virtuelle, que l'escroc peut tenter de voler, uniquement pour être infecté. Des informations sensibles importantes pour mener des enquêtes plus approfondies par un organisme chargé de l'application des lois peuvent être récupérées, et des informations supplémentaires sur l'entreprise malveillante peuvent ensuite être publiées ou compilées en ligne pour avertir les victimes potentielles.
En mars 2020, un YouTuber anonyme sous le pseudonyme de Jim Browning réussit à s'infiltrer et à rassembler des images de drone et de vidéosurveillance d'une opération frauduleuse d'escroquerie dans un centre d'appels grâce à l'aide d'un autre personnalité de YouTube, Karl Rock. Grâce au programme documentaire britannique Panorama, une descente de police est menée lorsque le documentaire est porté à l'attention du commissaire adjoint de la police Karan Goel, conduisant à l'arrestation de l'opérateur du centre d'appels Amit Chauhan qui a également opéré un voyage frauduleux. agence sous le nom de « Faremart Travels ».