Un inconnu vous envoie un message sur Reddit. Il vous dit que quelqu'un l'a signalé et que le compte à l'origine du signalement ressemble beaucoup au vôtre. Est-ce que c'était vous ?
Ce n'était pas ça. Ce n'est pas vraiment le sens du message.
Cette méthode repose entièrement sur l'ingénierie sociale. Elle ne fait appel ni à de logiciels malveillants, ni à des liens malveillants. Tout commence par une conversation, mais l'objectif est de vous inciter à divulguer vos identifiants ou un code de vérification afin que l'escroc puisse accéder à votre compte Reddit.
Comment fonctionne cette arnaque
Il existe deux variantes courantes de cette arnaque :
- « Quelqu'un m'a signalé, et on dirait que c'était toi. »
- «J'ai signalé ton compte par erreur. »
Une personne prétend qu’il y a eu une erreur concernant un signalement. Selon une version des faits, elle affirme avoir été signalée et il semblerait que ce soit vous qui l’ayez fait. Selon une autre version, elle prétend avoir signalé votre compte par erreur et a besoin de votre aide pour régler ce problème. Quoi qu’il en soit, il n’y a pas eu de signalement. Il s’agit en réalité d’une tentative d’escroquerie par ingénierie sociale, désormais courante sur Discord, Reddit et d’autres plateformes.
L'objectif final varie. Certaines versions tentent de vous piéger pour que vous leur communiquiez vos identifiants ou un code de vérification, afin que l'escroc puisse se connecter à votre compte, modifier votre mot de passe et vous en bloquer l'accès. D'autres vous persuadent de remplacer l'adresse e-mail associée à votre compte par une adresse qu'ils contrôlent. Ils exigent ensuite une carte cadeau ou un autre moyen de paiement pour « résoudre » le problème, en vous menaçant de supprimer votre compte ou de l'utiliser pour escroquer d'autres personnes si vous ne payez pas.
Si vous êtes toujours en contact avec eux, arrêtez immédiatement et ne leur communiquez aucun code ni ne modifiez les informations de votre compte. Si vous avez déjà fait l'une ou l'autre de ces choses et que vous n'avez plus accès à votre compte, passez directement à la section « Comment vous protéger » ci-dessous.
Comment cela se passe-t-il ?
La conversation commence généralement par l'une de ces deux affirmations. Soit la personne dit que quelqu'un a signalé son compte et qu'il semblerait que ce soit vous, soit elle prétend avoir signalé votre compte par erreur.
Si vous le niez, l'escroc ne conteste pas. Il vous dira qu'il s'agit probablement d'une erreur involontaire et continuera la conversation. Il pourrait vous demander si vous savez qui l'a signalé ou vous suggérer de l'aider à clarifier la situation. Son objectif est simplement de vous garder en ligne.
Ils envoient ensuite une « preuve » : une capture d’écran d’un e-mail conçu pour donner l’impression de provenir de Reddit. Ce message adopte un ton formel, comporte un numéro de dossier, affirme qu’une « enquête officielle » est en cours et inclut un compte à rebours, généralement de 12 heures, avant une « suspension, une limitation des fonctionnalités ou une exclusion ». Certaines versions vous invitent à contacter sur Discord une personne qui prétend être un employé ou un modérateur de Reddit. D’autres comportent un faux avertissement juridique citant des lois ou des réglementations sans rapport avec la situation. Rien de tout cela n’est vrai.
Pourquoi Reddit ne fonctionne pas ainsi
Reddit ne demande pas aux personnes concernées par un signalement de se contacter entre elles, et ne vous demande pas non plus de vérifier votre compte par l'intermédiaire d'un inconnu via un message privé. Le site ne traite pas les recours via Discord et ne vous redirige pas vers le compte Discord personnel d'un membre de l'équipe. Les signalements, la modération et les recours se font tous via Reddit lui-même.
Le compte à rebours sert à créer un sentiment d'urgence. Associé à de vagues menaces de suspension, de restriction d'accès à certaines fonctionnalités ou d'exclusion, il est conçu pour vous pousser à agir avant même que vous n'ayez le temps de vous interroger sur ce qui se passe.
Ce qu'ils recherchent en réalité
Le rapport et le faux e-mail ne sont qu'un prétexte. L'escroc vous explique qu'un employé de Reddit ou un « superviseur » doit vérifier votre compte pour prouver que vous n'êtes pas impliqué. Pour cela, vous devez, selon lui, lui réciter le code que Reddit s'apprête à vous envoyer.
Pendant que vous discutez, l'escroc tente de se connecter à votre véritable compte ou de lancer une procédure de récupération de compte. Reddit réagit en vous envoyant un véritable code de connexion ou de vérification.
Ce n’est pas un hasard si le code arrive à ce moment-là. Il vous est envoyé juste après qu’on vous a dit de vous y attendre. Si vous le communiquez, l’escroc peut s’en servir pour se connecter à votre compte, modifier votre mot de passe et vous en empêcher l’accès. Le code en lui-même est authentique. C’est l’histoire qui l’accompagne qui constitue l’arnaque.
Pourquoi les gens tombent dans le panneau
Que vous ayez été accusé d'avoir signalé quelqu'un ou qu'on vous ait dit que votre compte avait été signalé par erreur, cette arnaque vous place dans une situation où vous souhaitez régler le problème. Ainsi, lorsqu'on vous demande de « vérifier » votre compte, cela peut vous sembler faire partie de la résolution du problème plutôt que constituer un risque pour la sécurité.
Ce faux e-mail rend l'histoire plus crédible, surtout si l'on ne prend pas le temps de se demander si le mode de contact ou la procédure correspondent réellement au fonctionnement de Reddit. Le compte à rebours renforce le sentiment d'urgence, vous incitant à agir avant même d'avoir eu le temps d'y réfléchir.
Il ne s'agit pas ici de naïveté. Il s'agit d'un scénario d'ingénierie sociale bien rodé, conçu pour donner l'impression qu'une demande raisonnable est légitime.
Il ne s'agit pas seulement de messages privés
Bien que cette arnaque aux fausses notifications commence généralement par un message privé, les escrocs se font également passer pour Reddit dans des e-mails de hameçonnage affirmant que votre compte a été verrouillé ou nécessite une intervention. Si vous recevez un e-mail de sécurité inattendu, ne cliquez pas sur les liens qu’il contient. Connectez-vous plutôt directement à Reddit via le site web officiel ou l’application.
Si votre compte est piraté, vous pourriez remarquer des publications, des commentaires ou des messages que vous n’avez pas rédigés. C’est le signe que quelqu’un d’autre a accès à votre compte. Si cela se produit, modifiez votre mot de passe, activez l’authentification à deux facteurs si ce n’est pas déjà fait, et suivez la procédure de récupération de compte de Reddit.
Comment se protéger
- Ne communiquez jamais vos identifiants Reddit ni votre code de vérification à qui que ce soit, même à une personne se présentant comme un membre du personnel ou du service d'assistance de Reddit.
- Ne modifiez jamais l'adresse e-mail associée à votre compte à la demande d'un inconnu, même pour « résoudre » un problème signalé.
- Si quelqu'un vous demande d'acheter une carte cadeau ou d'envoyer de l'argent pour régler un signalement, il s'agit d'une arnaque.
- Reddit ne demandera pas aux utilisateurs concernés par un signalement de se contacter entre eux, de vérifier leurs comptes par messages privés ou de traiter les recours via Discord.
- Si vous recevez un e-mail de sécurité inattendu de la part de Reddit, n'utilisez pas les liens qu'il contient. Connectez-vous plutôt directement à votre compte via reddit.com ou l'application officielle.
- Activez l'authentification à deux facteurs à l'aide d'une application d'authentification, et considérez toute tentative de connexion ou tout code de vérification inattendu comme un signe indiquant que quelqu'un pourrait tenter d'accéder à votre compte.
- Si vous remarquez des publications, des commentaires ou des messages que vous n'avez pas créés, sécurisez immédiatement votre compte en modifiant votre mot de passe. Si vous ne pouvez plus accéder à votre compte, suivez la procédure officielle de récupération de compte de Reddit sur reddit.com.
- Signalez l'arnaqueur et ses messages à l'aide des outils de signalement intégrés à Reddit.
N'oublie pas
Si quelqu'un vous demande de lui communiquer un identifiant ou un code de vérification, arrêtez-vous là. C'est là que réside l'arnaque. Tout ce qui précède n'est qu'une mise en scène.
