L'incident de la chaîne d'approvisionnement de Ledger s'est légèrement calmé, et les escrocs en profitent déjà. La société de sécurité blockchain SlowMist a émis une alerte de renseignement sur les menaces concernant une fausse campagne de « mise à jour du firmware Ledger » qui exploite les retombées de l'incident CryptoBilis du 9 octobre. Son conseil est sans détour : ne cliquez jamais sur des liens de sites web pour mettre à jour, et ne saisissez jamais votre phrase de récupération où que ce soit.
Ce que les utilisateurs doivent faire
La position de Ledger n'a pas changé : elle ne vous appellera jamais, ne vous enverra jamais de message privé et ne vous demandera jamais votre phrase de récupération de 24 mots. Les mises à jour du firmware sont gérées via l'application officielle Ledger Live sur votre propre appareil, et non via des liens dans des e-mails. Si un message fait pression pour agir dans l'urgence, supprimez-le. Toute personne ayant saisi une phrase dans un domaine de ce type doit considérer le portefeuille comme compromis et transférer immédiatement les fonds vers un nouvel appareil avec une nouvelle phrase de récupération.
Conçu pour paraître réel
SlowMist affirme que la campagne semble très réelle. Des captures d'écran montrent un e-mail soigné se faisant passer pour « L'équipe Ledger », affirmant qu'une mise à jour du firmware est disponible pour votre appareil. Le piège est adapté au moment. Il indique que la mise à jour est essentielle pour se protéger contre les menaces croissantes de logiciels espions, citant des incidents récents en Malaisie, des applications tierces non autorisées et un vol potentiel de fonds.
L'e-mail liste les appareils concernés : Nano S Plus, Nano X, Flex, Stax et Nano Gen5. Il promet une meilleure protection contre les logiciels espions et les applications malveillantes, des sauvegardes renforcées contre les accès non autorisés et d'importants correctifs de sécurité. En bas se trouve un bouton noir « Mettre à jour maintenant ».
Cliquer dessus mène à l'étape suivante : une fausse page de « Vérification d'authenticité » qui imite le véritable processus de vérification de Ledger. Elle guide les victimes à travers la sélection de l'appareil et inclut même un message recommandant les achats via le réseau de revendeurs de Ledger. C'est un emprunt cynique des conseils exacts que les utilisateurs entendent depuis l'incident. La dernière étape est celle qui compte : une demande de votre phrase de récupération.
Pourquoi cela fonctionne
Les phishing n'ont pas besoin d'inventer une histoire. Ledger leur en a fourni une. Les utilisateurs ont été invités à vérifier leurs appareils, à mettre à jour les signataires compromis et à suivre les conseils officiels. Un e-mail de « mise à jour de sécurité » arrivant au milieu de cette panique ne semble pas suspect à beaucoup de gens. Cela ressemble à l'étape suivante. Ledger avait averti que les escrocs pourraient exploiter la confusion autour de l'incident. Cette prédiction s'est réalisée en environ une semaine.
