Un inconnu vous contacte sur Reddit. Il prétend avoir été signalé, et le compte qui a signalé le compte ressemble beaucoup au vôtre. Était-ce vous ?
Non. Ce n'est pas vraiment le but du message.
Cette version repose entièrement sur l'ingénierie sociale. Elle ne contient ni logiciel malveillant ni lien malveillant. Elle débute par une conversation, mais son but est de vous inciter à divulguer un identifiant ou un code de vérification afin que l'escroc puisse accéder à votre compte Reddit.
Comment fonctionne cette arnaque
Il existe deux variantes courantes de cette arnaque :
- « Quelqu’un m’a dénoncé, et il semblerait que ce soit vous. »
- « J’ai signalé votre compte par erreur. »
Quelqu'un prétend qu'il y a eu une erreur concernant un signalement. Selon une version, cette personne affirme avoir été signalée par erreur et il semblerait que ce soit vous. Selon une autre version, elle prétend avoir signalé votre compte par inadvertance et a besoin de votre aide pour résoudre le problème. Dans les deux cas, aucun signalement n'a été effectué. Il s'agit du début d'une arnaque par ingénierie sociale, devenue courante sur Discord, Reddit et d'autres plateformes.
L'objectif final varie. Certaines arnaques consistent à vous soutirer un identifiant ou un code de vérification afin que l'escroc puisse accéder à votre compte, modifier votre mot de passe et vous en bloquer l'accès. D'autres vous incitent à changer l'adresse e-mail associée à votre compte pour une adresse qu'ils contrôlent. Ils exigent ensuite une carte-cadeau ou un autre paiement pour « régler » le problème, menaçant de supprimer votre compte ou de l'utiliser pour escroquer d'autres personnes si vous ne payez pas.
Si vous êtes encore en contact avec eux, cessez immédiatement et ne partagez aucun code ni ne modifiez les informations de votre compte. Si vous avez déjà effectué l'une ou l'autre de ces actions et perdu l'accès à votre compte, passez directement à la section « Comment vous protéger » ci-dessous.
Comment cela se déroule
La conversation commence généralement par l'une de ces deux affirmations : soit la personne dit que quelqu'un a signalé son compte et qu'il semble que ce soit vous, soit elle prétend avoir signalé votre compte par erreur.
Si vous niez, l'escroc ne discute pas. Il prétend qu'il s'agit probablement d'une erreur involontaire et poursuit la conversation. Il pourrait vous demander si vous savez qui l'a dénoncé ou vous suggérer de l'aider à clarifier la situation. Son seul but est de vous maintenir en contact.
Ils envoient ensuite une « preuve » : une capture d’écran d’un courriel imitant une réponse de Reddit. Le ton est formel, le courriel comporte un numéro de ticket, affirme qu’une « enquête officielle » est en cours et annonce un compte à rebours, généralement de 12 heures, avant une « suspension, des fonctionnalités limitées ou un bannissement ». Certaines versions vous invitent à contacter une personne sur Discord se faisant passer pour un employé ou un modérateur de Reddit. D’autres contiennent un faux avertissement légal citant des lois ou des règlements sans rapport avec la situation. Tout cela est faux.
Pourquoi Reddit ne fonctionne pas ainsi
Reddit ne demande pas aux personnes impliquées dans un signalement de se contacter, ni de vérifier votre compte auprès d'un inconnu par message privé. Les appels ne sont pas traités via Discord et vous ne serez pas redirigé vers le compte Discord personnel d'un membre de l'équipe. Les signalements, la modération et les appels se font exclusivement sur Reddit.
Le compte à rebours est là pour créer un sentiment d'urgence. Associé à des menaces vagues de suspension, de restrictions de fonctionnalités ou d'exclusion, il est conçu pour vous inciter à agir avant même que vous ayez le temps de vous interroger sur ce qui se passe.
Ce qu'ils recherchent réellement
Le signalement et le faux courriel ne sont qu'un prétexte. L'escroc vous explique qu'un employé ou un « superviseur » de Reddit doit vérifier votre compte pour prouver votre innocence. Pour cela, vous devez, selon lui, relire le code que Reddit s'apprête à vous envoyer.
Pendant la conversation, l'escroc tente de se connecter à votre compte ou de déclencher une procédure de récupération. Reddit répond en vous envoyant un code de connexion ou de vérification valide.
Ce n'est pas un hasard si le code arrive juste après la date prévue. Si vous le communiquez, l'escroc pourra se connecter à votre compte, changer votre mot de passe et vous en bloquer l'accès. Le code en lui-même est authentique. C'est l'histoire qui l'accompagne qui constitue l'escroquerie.
Pourquoi les gens se font avoir
Que vous soyez accusé d'avoir dénoncé quelqu'un ou qu'on vous ait dit que votre compte avait été signalé par erreur, cette escroquerie vous pousse à vouloir régler le problème. Ainsi, lorsqu'on vous demande de « vérifier » votre compte, cela peut être perçu comme une solution plutôt que comme un risque pour votre sécurité.
Le faux courriel rend l'histoire plus crédible, surtout si l'on ne se demande pas si le mode de contact correspond au fonctionnement réel de Reddit. Le compte à rebours crée un sentiment d'urgence, incitant à agir avant d'avoir eu le temps de réfléchir.
Il ne s'agit pas de naïveté. C'est un scénario de manipulation sociale bien rodé, conçu pour faire passer une demande raisonnable pour légitime.
Il ne s'agit pas seulement de messages directs
Bien que l'arnaque au faux signalement commence généralement par un message privé, les escrocs usurpent également l'identité de Reddit dans des courriels d'hameçonnage prétendant que votre compte a été bloqué ou nécessite votre attention. Si vous recevez un courriel de sécurité inattendu, ne cliquez pas sur les liens qu'il contient. Connectez-vous plutôt directement à Reddit via le site web ou l'application officiels.
Si votre compte est compromis, vous pourriez remarquer des publications, des commentaires ou des messages que vous n'avez pas écrits. Cela indique qu'une autre personne a accès à votre compte. Dans ce cas, changez votre mot de passe, activez l'authentification à deux facteurs si ce n'est pas déjà fait et suivez la procédure de récupération de compte de Reddit.
Comment se protéger
- Ne partagez jamais vos identifiants de connexion Reddit ni votre code de vérification avec qui que ce soit, même avec une personne prétendant faire partie du personnel ou du support de Reddit.
- Ne modifiez jamais l'adresse e-mail associée à votre compte à la demande d'un inconnu, même pour « régler » un problème signalé.
- Si quelqu'un vous demande d'acheter une carte-cadeau ou d'envoyer de l'argent pour régler un problème, c'est une arnaque.
- Reddit ne demandera pas aux utilisateurs impliqués dans un signalement de se contacter, de vérifier leurs comptes par messages directs, ni de traiter les appels via Discord.
- Si vous recevez un e-mail de sécurité inattendu de Reddit, n'utilisez pas les liens qu'il contient. Connectez-vous directement à votre compte via reddit.com ou l'application officielle.
- Activez l'authentification à deux facteurs à l'aide d'une application d'authentification et considérez tout code de connexion ou de vérification inattendu comme un signe que quelqu'un tente peut-être d'accéder à votre compte.
- Si vous remarquez des publications, des commentaires ou des messages que vous n'avez pas créés, sécurisez immédiatement votre compte en changeant votre mot de passe. Si vous avez perdu l'accès à votre compte, utilisez la procédure officielle de récupération de compte de Reddit sur reddit.com .
- Signalez l'escroc et ses messages en utilisant les outils de signalement intégrés de Reddit.
Souviens-toi
Si quelqu'un vous demande de partager un identifiant ou un code de vérification, arrêtez-vous là. C'est une arnaque. Tout ce qui précède n'est que la mise en place.
