Une nouvelle campagne de phishing exploite l’un des réflexes les plus courants des internautes : protéger immédiatement leur compte lorsqu’une alerte de sécurité apparaît. Des cybercriminels diffusent actuellement de faux e-mails imitant les notifications officielles de X afin de dérober les identifiants des utilisateurs.
Relayée par The Guardian, cette campagne illustre une nouvelle fois la sophistication croissante des attaques par hameçonnage, qui reproduisent désormais avec une grande précision l’identité visuelle des grandes plateformes.
Une fausse alerte de connexion pour pousser à agir dans l’urgence
Le scénario est simple, mais particulièrement efficace. Le destinataire reçoit un e-mail affirmant qu’une connexion suspecte à son compte X a été détectée depuis un appareil inconnu.
Le message invite alors à réinitialiser immédiatement son mot de passe, vérifier les applications ayant accès au compte et sécuriser son profil via un lien présenté comme officiel. Ces recommandations semblent crédibles, car elles correspondent aux procédures habituellement proposées par X en cas d’activité inhabituelle.
Le problème est que les liens intégrés au message ne renvoient pas vers les serveurs officiels de la plateforme. Ils dirigent les victimes vers un faux site conçu pour récupérer leurs identifiants ou les convaincre d’autoriser une application malveillante à accéder à leur compte.
Des e-mails de plus en plus difficiles à distinguer
Selon Jake Moore, conseiller mondial en cybersécurité chez ESET, les auteurs de cette campagne ont particulièrement soigné la présentation de leurs messages. Les faux e-mails reproduisent fidèlement la charte graphique de X, les couleurs de la plateforme, la mise en page, ainsi qu’un niveau de rédaction particulièrement soigné, sans fautes d’orthographe ou de grammaire flagrantes.
Ces éléments rendent l’arnaque beaucoup plus difficile à identifier qu’un phishing traditionnel.
Les indices qui permettent de repérer l’arnaque
Malgré leur apparence convaincante, ces e-mails présentent plusieurs signes révélateurs. Le premier élément à vérifier est l’adresse de l’expéditeur. Selon le centre d’assistance officiel de X, les communications de sécurité proviennent uniquement des domaines : @x.com et @e.x.com. La plateforme rappelle également qu’elle ne demande jamais un mot de passe ni un code d’authentification par e-mail, message privé ou réponse à un message.
Enfin, avant de cliquer sur un lien, il est recommandé de vérifier sa véritable destination. Les cybercriminels utilisent souvent des adresses web qui ressemblent à celles de X, tout en renvoyant vers des sites frauduleux.
Comment réagir si vous recevez ce message ?
En cas de réception d’un e-mail de ce type, la meilleure réaction consiste à ne cliquer sur aucun lien. Il est préférable d’ouvrir directement l’application X ou de se connecter via le site officiel. Si une véritable alerte de sécurité concerne votre compte, elle apparaîtra également dans les paramètres de la plateforme.
Les utilisateurs ayant déjà saisi leur mot de passe ou leur code d’authentification sur un site suspect doivent agir rapidement : modifier immédiatement leur mot de passe, activer, ou vérifier, l’authentification à deux facteurs (2FA) ou encore contrôler les appareils connectés et les applications autorisées à accéder au compte.
Ces mesures permettent de limiter le risque de prise de contrôle du profil par un tiers malveillant.
Le phishing mise désormais davantage sur la confiance que sur la technique
Cette nouvelle campagne rappelle que les attaques les plus efficaces ne reposent plus uniquement sur des failles informatiques, mais sur la psychologie des utilisateurs. En reproduisant fidèlement les codes visuels de plateformes connues et en exploitant un sentiment d’urgence, les cybercriminels cherchent avant tout à provoquer une réaction instinctive.
Dans ce contexte, la meilleure protection reste la prudence. Vérifier systématiquement l’adresse de l’expéditeur, accéder à un service en ouvrant directement son application plutôt qu’en cliquant sur un lien reçu par e-mail et activer l’authentification à deux facteurs demeurent les réflexes les plus efficaces pour protéger ses comptes en ligne.