Des utilisateurs crypto sont visés par une nouvelle campagne de phishing qui imite des alertes Google officielles. Le danger vient d’un détail troublant : certains messages semblent réellement passer par l’infrastructure de Google, ce qui brouille les réflexes habituels de méfiance.
Une attaque plus propre, donc plus dangereuse
Cette campagne s’inscrit dans une phase où les plateformes crypto doivent déjà bloquer des millions de tentatives d’arnaque et de phishing. La nouvelle vague ne repose pas sur un vieux courriel mal écrit. Elle exploite des demandes de contact de récupération Google, une fonction conçue pour aider un utilisateur à retrouver l’accès à son compte.
Selon U.Today, des attaquants insèrent un lien malveillant dans les détails de cette demande, ce qui donne au message une apparence plus crédible. C’est justement là que le piège devient efficace.
Beaucoup d’utilisateurs savent repérer une adresse d’expéditeur douteuse. Ici, ce signal devient moins utile, car l’e-mail peut ressembler à une vraie notification de sécurité Google.
Les escrocs jouent aussi avec la mise en forme. Ils ajoutent de longs espaces vides pour cacher la partie suspecte plus bas dans le message. En haut, l’utilisateur voit une alerte propre. Plus bas, il peut tomber sur un lien destiné à voler ses identifiants, ses cookies de session ou l’accès à ses comptes crypto.
Pourquoi les détenteurs crypto sont des cibles idéales
Les utilisateurs d’exchanges et de DeFi sont particulièrement exposés. Un compte Google compromis peut ouvrir la porte à d’autres services. Il peut servir à réinitialiser des mots de passe, intercepter des alertes ou retrouver des traces de wallets, de plateformes utilisées et parfois même de sauvegardes sensibles.
Dans la crypto, l’erreur coûte plus cher qu’ailleurs. Une transaction signée ne se rappelle pas. Un portefeuille vidé ne se restaure pas par un simple formulaire de support. C’est ce qui rend le phishing beaucoup plus brutal dans cet univers que dans la plupart des services numériques classiques.
La DeFi ajoute une autre couche de risque. Les escrocs n’ont pas toujours besoin d’obtenir un mot de passe complet. Un faux site peut pousser l’utilisateur à connecter son wallet, approuver une autorisation toxique ou signer une transaction mal comprise. En quelques secondes, le piège devient on-chain.
Ce risque rejoint les failles de comportement déjà visibles dans les portefeuilles grand public. Notre guide sur Trust Wallet rappelle que le phishing reste une menace persistante pour les utilisateurs de wallets, même lorsque l’outil lui-même est fiable.
Google Recovery Contacts détourné de son usage
La fonction Recovery Contacts de Google a été lancée pour permettre à des proches de confiance d’aider un utilisateur à récupérer son compte en cas de blocage. Google explique sur son blog officiel que ces contacts peuvent confirmer l’identité de l’utilisateur via un code, sans obtenir l’accès au compte ni aux données personnelles.
Le problème ne vient donc pas forcément de l’idée de départ. Il vient de son détournement. Une fonction rassurante devient un décor crédible pour une attaque. C’est une vieille recette du social engineering, mais avec une finition plus moderne.
Google précise aussi dans son aide officielle que les invitations de contact de récupération peuvent être gérées depuis la page dédiée du compte Google. La demande expire après sept jours, et l’utilisateur peut accepter ou refuser depuis son espace de sécurité.
Cette vérification manuelle reste la bonne habitude : ne pas suivre le lien reçu, mais ouvrir soi-même son compte depuis le navigateur.
Le bon réflexe : zéro confiance par défaut
La règle devient simple : même un e-mail propre n’est plus une preuve. Les utilisateurs crypto doivent traiter toute demande de sécurité comme suspecte tant qu’elle n’a pas été vérifiée depuis le tableau de bord officiel du service concerné.
Il faut éviter de cliquer sur les liens contenus dans les e-mails liés à Google, aux exchanges ou aux wallets. Le meilleur réflexe consiste à ouvrir manuellement le site ou l’application, puis à vérifier les alertes depuis les paramètres de sécurité.
Google rappelle d’ailleurs dans sa page de récupération de compte qu’il ne faut pas donner ses mots de passe ou codes de vérification à des services prétendant aider à récupérer un compte. C’est une règle simple, mais elle devient vitale dans la crypto.
Le cycle précédent a déjà montré que beaucoup d’investisseurs ne perdent pas seulement à cause du marché. Ils perdent aussi à cause de mauvaises pratiques de sécurité. C’est pourquoi notre dossier sur les erreurs Bitcoin de 2021 à 2024 insiste sur le phishing, les faux supports et les signatures trop rapides.
Cette campagne montre une évolution nette. Le phishing crypto n’est plus seulement une imitation grossière. Il s’infiltre dans des mécanismes légitimes, détourne la confiance et pousse l’utilisateur à baisser sa garde. Dans cet environnement, la prudence n’est pas de la paranoïa. C’est une hygiène de survie numérique.
En bref
- Des e-mails de récupération Google sont détournés pour piéger des utilisateurs crypto.
- Les détenteurs d’exchanges et de wallets DeFi sont les plus exposés.
- La meilleure défense reste de vérifier chaque alerte depuis le compte officiel, jamais depuis un lien reçu.
