Des cybercriminels usurpent l'identité de DStv, Takealot, South African Airways, SARS et d'autres grandes organisations par le biais de plus de 100 sites web frauduleux afin de diffuser un logiciel malveillant qui prend le contrôle des applications bancaires sur les appareils Android, selon un rapport de l'entreprise internationale de cybersécurité NordVPN.

Active depuis août 2025, la campagne cible les utilisateurs sud-africains d'Android par le biais de l'ingénierie sociale. Les victimes reçoivent des messages par SMS, WhatsApp ou sur les réseaux sociaux contenant des liens vers de faux sites web conçus pour ressembler étroitement à des organisations légitimes. SARS, le service des recettes sud-africain (South African Revenue Service), est une cible fréquente d'usurpation d'identité, et l'administration fiscale publie régulièrement des avertissements publics concernant les messages frauduleux envoyés en son nom.

Après avoir ouvert le site, les victimes sont invitées à télécharger une application qui installe un cheval de Troie d'accès à distance sur leur appareil. Comme l'application est diffusée via un lien de navigateur plutôt que via une boutique d'applications officielle, elle contourne l'examen appliqué aux listes sur Google Play ; Android demande une confirmation aux utilisateurs lors de l'installation de logiciels provenant de sources inconnues, et les victimes doivent approuver cette installation pour que le cheval de Troie prenne effet. Une fois installé, il fonctionne en arrière-plan, survit aux redémarrages du téléphone et demande des autorisations comprenant l'accès aux messages SMS, aux contacts, à l'historique des appels, à la capture d'écran et à l'enregistrement audio.

Sa capacité la plus destructrice est l'interception des mots de passe à usage unique, ou OTP, envoyés par les banques pour la vérification des transactions.

« Le logiciel malveillant neutralise effectivement l'authentification à deux facteurs », a déclaré NordVPN. « Les attaquants peuvent se connecter à l'application bancaire de la victime et approuver la transaction eux-mêmes. »

NordVPN a indiqué que les sites web frauduleux font preuve d'un niveau de sophistication inhabituel, avec une utilisation probable de l'IA générative dans leur conception et leur localisation. Les domaines sont enregistrés sur des extensions jetables, notamment .cc, .lol, .xyz et .mom, tandis que la plupart sont cachés derrière Cloudflare, un réseau de diffusion de contenu dont le service de proxy masque l'emplacement du serveur hébergeant réellement un site, et sont remplacés dès qu'ils sont abandonnés.

La campagne s'inscrit dans un contexte d'augmentation des attaques contre la banque mobile en Afrique. Selon Kaspersky, les attaques contre la banque mobile ont été multipliées par 1,5 à l'échelle mondiale en 2025, tandis que l'hameçonnage lié aux banques représentait 53,75 % de toutes les détections d'hameçonnage sur le continent africain.

« L'hameçonnage et l'ingénierie sociale peuvent diriger les gens vers de fausses pages bancaires, tandis que les infostealers et les chevaux de Troie bancaires mobiles sont conçus pour capturer des identifiants ou d'autres informations sensibles », a déclaré Boris Larin, chercheur principal en sécurité chez Kaspersky.

L'ampleur de l'opération visant l'Afrique du Sud est significative. Plus de 100 domaines ont jusqu'à présent été liés à la campagne, et de nouveaux apparaissent dès que les anciens sont abandonnés. L'utilisation délibérée de marques de confiance familières aux Sud-Africains constitue un élément clé du stratagème.

La domination d'Android en Afrique du Sud, où il représente plus de 76 % du marché des systèmes d'exploitation mobiles, fait du pays une cible particulièrement attrayante. Alors que des millions de Sud-Africains gèrent leurs finances entièrement par smartphone, l'impact d'une attaque réussie peut aller bien au-delà d'un seul compte compromis.

Marijus Briedis, directeur technique de NordVPN, a conseillé aux utilisateurs d'Android de ne jamais installer d'applications à partir de liens reçus par message et de considérer l'urgence de telles communications comme un signal d'alarme. Tout message exigeant une action immédiate ou poussant un utilisateur à respecter un délai doit être examiné avec attention plutôt qu'obéi.

Les utilisateurs qui soupçonnent avoir déjà installé une application malveillante doivent immédiatement déconnecter leur téléphone d'Internet, désinstaller l'application suspecte, changer tous leurs mots de passe depuis un appareil distinct et contacter directement leur banque pour sécuriser leur compte. Les cybercrimes suspectés peuvent également être signalés à la police sud-africaine (South African Police Service), qui enquête sur les infractions en vertu de la loi sur la cybercriminalité de 2020 (Cybercrimes Act).

À lire également : MultiChoice Nigeria offrira des upgrades gratuits de forfaits aux abonnés DStv et GOtv tout au long du mois de juin