L’espace client d’AXA copié pour une campagne de phishing

Un stratagème sophistiqué de phishing a attaqué l’espace client d’AXA. Les fraudeurs ont copié l’extranet client de l’assureur pour transférer de l’argent volé à leurs victimes.

Pour commencer à parler de cet hameçonnage, rappelons que AXA est un groupe international français spécialisé dans l’assurance. A l’heure actuelle, l’entreprise est l’une des principales sociétés d’assurances, d’épargne et de gestion d’actifs au monde.

Bien qu’ayant des racines françaises, le groupe est désormais présent dans près de soixante pays. L’assureur sert plus d’une centaine de millions de clients. De nos jours, l’entreprise emploie 160 000 personnes.

AXA détient plusieurs filiales dont AXA Banque qui propose entre autres des produits d’épargnes.

La marque AXA a été enregistrée pour la première fois en 1984 et est soumise à de nombreux enregistrements dans le monde entier. AXA exploite également un certain nombre de noms de domaine afin de promouvoir ses services, y compris le nom de domaine <axa.com>.

AXA propose un extranet client à l’adresse suivant : https://connect.axa.fr. Il s’agit d’un sous domaine du nom de domaine axa.fr.

Un escroc a enregistré le nom de domaine <connect-axa.com> le 2 avril 2020.

Les auteurs du phishing ont choisi un nom de domaine inspiré du sous-domaine de l’espace client d’AXA

Il est indéniable que le nom de domaine cybersquatté fait clairement référence à l’accès en ligne de l’espace client d’AXA.

L’ajout dans le nom de domaine litigieux de l’élément «connect» fait croire au client d’AXA qu’il accède à son extranet sécurisé par mot de passe. Les internautes croiront que le nom de domaine héberge leur espace client qui permet d’accéder à leurs services ; qu’il s’agisse de contrats d’assurance, de comptes, d’investissements, etc.

En règle générale, il est recommandé de déposer préventivement l’équivalent en noms de domaine des sous-domaines stratégiques d’une société.

Cela permet de réduire le risque que des pirates les déposent et les utilisent à des fins de phishing.

Dans la plainte UDRP D2020-3276 remportée par l’assureur, il y a des échanges internes au cours desquels le stratagème de phishing a été décrit comme suit.

« Le fraudeur a copié la page connect.axa.fr pour tromper les clients et transférer de l’argent depuis vendredi. Les fraudeurs ont mené des attaques très sophistiquées qui ont dû se connecter à notre infrastructure et contourner la double identification avec succès. »

Une analyse qui fait froid dans le dos. AXA indique en outre à cet égard que son « équipe de phishing a demandé la désactivation du site Web du défendeur avant de déposer cette plainte ». A ce titre,  « le site n’est plus directement accessible à partir d’internet. Il est désormais notifié comme étant un site d’hameçonnage par les explorateurs web ».