Les autorités américaines et les organismes de cybersécurité signalent une hausse des cas où des fraudeurs inondent les boîtes de réception de courriels d’inscription et de bienvenue afin de masquer les alertes envoyées au même moment par les banques et les services de paiement. Cette tactique, appelée dans le jargon professionnel subscription bombing ou e-mail bombing, vise à faire disparaître dans le flot de messages les alertes concernant des débits de carte ou des modifications de compte non autorisés, et à gagner ainsi un temps précieux pour effectuer d’autres transactions.
La Cybersecurity and Infrastructure Security Agency décrit les bombardements de courriels dans ses bulletins récents comme une méthode de perturbation connue, contre laquelle les organisations des secteurs de la santé et des infrastructures sont particulièrement mises en garde. Le Center for Internet Security classe cette méthode, dans un rapport Spotlight, parmi les techniques courantes permettant d’« enterrer » des communications de sécurité légitimes. De son côté, M3AAWG présente des mesures visant à protéger les formulaires Web contre les inscriptions automatisées en masse. Pour signaler les incidents concernés, les autorités renvoient les victimes vers le FBI Internet Crime Complaint Center et la Federal Trade Commission.
La méthode est techniquement simple : les attaquants saisissent automatiquement l’adresse de la cible dans de nombreux formulaires de newsletters et de création de comptes. En quelques minutes, ces inscriptions génèrent des centaines, voire des milliers de messages, parmi lesquels des confirmations, des courriels publicitaires et des notifications de mot de passe. Dans ce flot, les véritables notifications bancaires passent facilement inaperçues. Les chercheurs en sécurité constatent que cette méthode est utilisée aussi bien dans des fraudes financières ciblées que dans des attaques de diversion liées à des prises de contrôle de comptes.
Faits, attributions et moyens de défense : les autorités et les organismes spécialisés documentent le « subscription bombing » depuis des années ; les chiffres concrets des dommages varient et sont principalement établis à partir des signalements d’incidents. Les recommandations font consensus : ne cliquer sur aucun lien dans le flot de messages ; vérifier le solde des comptes et les opérations par carte directement dans l’application bancaire ou en saisissant soi-même l’adresse dans le navigateur ; signaler immédiatement à la banque tout débit suspect et, si nécessaire, faire bloquer les cartes. Des contrôles côté serveur et la limitation du nombre de requêtes sur les formulaires, ainsi que des procédures obligatoires de double opt-in, les CAPTCHA, les listes de blocage de domaines jetables et les filtres de boîte de réception qui regroupent temporairement les motifs typiques de « subscription bombing » peuvent apporter une protection technique.
Pour les pouvoirs publics et les établissements financiers, la prévention est prioritaire : les fournisseurs doivent renforcer leurs processus d’inscription contre les inscriptions automatisées en masse, prévoir plusieurs canaux d’alerte redondants et proposer des notifications push claires. Les consommateurs peuvent se protéger en activant les alertes push, en utilisant les autres canaux de contact de leur banque et en signalant immédiatement les faits au FBI Internet Crime Complaint Center et à la Federal Trade Commission. Cela permet de repérer plus rapidement les tendances et de coordonner les mesures de riposte. Les prévisions sur l’évolution de la fréquence restent incertaines ; les signalements des autorités et des professionnels du secteur indiquent toutefois que cette méthode reste attrayante pour les auteurs de fraude à la carte bancaire et de prises de contrôle de comptes.
Rédacteur : Phillipe Schmidt-Araguin (article réalisé avec l’aide de l’IA).