Les arnaques par smishing, également connues sous le nom de phishing par SMS, évoluent pour devenir des attaques hautement personnalisées qui exploitent des données personnelles volées pour tromper les victimes plus âgées en Corée du Sud, selon un nouveau rapport de l'entreprise technologique de prévention contre la fraude Infinigru Corp.

Les escrocs addressent désormais les victimes plus âgées par « Maman » ou « Papa » avec une précision quasi parfaite et, dans certains cas, utilisent les véritables noms des enfants des victimes. Les schémas impliquent généralement des affirmations selon lesquelles l'écran du téléphone serait cassé ou le numéro de contact aurait changé, dans le but ultime de voler des identifiants bancaires ou de tromper les victimes pour qu'elles installent des applications malveillantes permettant un accès à distance à leurs appareils.

Les autorités soupçonnent que la fraude repose sur des informations personnelles exposées lors de récentes fuites de données à grande échelle. La Corée du Sud a connu plusieurs incidents majeurs de fuite de données ces dernières années — notamment des violations chez des opérateurs de télécommunications, des plateformes de commerce électronique et des institutions financières — qui ont collectivement exposé les données personnelles de dizaines de millions de résidents, fournissant aux fraudeurs de riches ensembles de données comprenant noms, numéros de téléphone, âges et liens familiaux.

Ampleur du problème

Le rapport d'Infinigru, portant sur la période de sept mois allant du 8 décembre 2025 au 14 juillet 2026, a identifié 1 856 victimes ayant reçu des demandes d'argent ou d'informations personnelles, ou dont les téléphones ont été accédés à distance après l'installation d'une application malveillante. Ces victimes ont collectivement reçu 40 876 messages.

Les victimes étaient majoritairement des personnes âgées. Celles âgées de 50 ans et plus représentaient environ 94 pour cent du total, soit 1 743 personnes. Cette concentration correspond à la trajectoire démographique de la Corée du Sud : le pays possède l'une des populations vieillissant le plus rapidement au monde, et les personnes âgées ont rapidement adopté les smartphones, ce qui les rend des cibles accessibles alors qu'elles ont souvent moins de familiarité avec les tactiques de phishing en constante évolution.

Précision des formulations et corrélation avec l'âge

Parmi les 1 801 victimes âgées de 40 ans et plus, les escrocs ont correctement addressé 1 718 personnes par « Maman » ou « Papa », atteignant un taux de précision de 95,3 pour cent. La précision des formulations augmentait régulièrement avec l'âge : 79,2 pour cent pour les victimes dans la quarantaine, 93,2 pour cent pour celles dans la cinquantaine, 96 pour cent pour celles dans la soixantaine, 97 pour cent pour celles dans la soixante-dixaine, et 96,2 pour cent pour celles âgées de 80 ans et plus.

« Les messages provenant d'un seul numéro d'arnaque étaient fortement concentrés sur les destinataires dans la cinquantaine et plus, et la précision des formulations telles que "Maman" et "Papa" approche les 100 pour cent », a déclaré Infinigru dans son rapport. « Plutôt que d'envoyer des messages au hasard, il s'agit suspecté de smishing ciblé utilisant des informations d'âge et de genre obtenues grâce aux récentes fuites de données personnelles. »

Utilisation des vrais noms des enfants

Dans 30 cas, les escrocs ont envoyé des messages incorporant les véritables noms des enfants des victimes, ce qui s'est révélé très efficace pour abaisser les défenses des victimes. Parmi ces 30 victimes, 29 ont échangé deux messages ou plus avec les escrocs, et le nombre médian de messages échangés était de 34 — soit plus de trois fois la médiane globale de l'échantillon, qui s'élevait à 10. Onze de ces 30 victimes ont finalement installé une application malveillante via un lien, donnant aux escrocs un accès à distance à leurs téléphones.

« Lorsque les véritables noms des enfants étaient mentionnés, il ne s'agissait pas d'un cas de vol d'informations personnelles en temps réel par les escrocs, mais plutôt d'une exploitation répétée par les escrocs de listes de contacts déjà divulguées par le biais d'infections antérieures par des applications malveillantes », a déclaré Infinigru.

Les expéditeurs utilisaient également des étiquettes d'auto-identification telles que « Je suis ton/aîné » ou « Je suis ton fils aîné » — des termes couramment utilisés par les parents coréens — qui ont vraisemblablement été copiés directement à partir des noms de contacts enregistrés sur les téléphones des victimes.

Tendances temporelles et volumétriques

Les messages de smishing ont fortement augmenté à partir de mars 2026. Le volume mensuel de SMS est passé de 1 291 en décembre, 2 410 en janvier et 2 137 en février à 10 162 en mars et 10 791 en avril, avant de baisser à 6 300 en mai et 7 566 en juin.

Les escrocs concentraient leur premier contact entre 10 heures du matin et 14 heures. « Les escrocs semblent cibler les moments où les enfants sont au travail ou à l'école pour rendre la situation d'un téléphone cassé plus crédible », a noté le rapport.

Vitesse et durée des attaques

Les victimes subissaient souvent des pertes avant même de reconnaître l'arnaque. Le temps médian écoulé entre le premier SMS et une demande d'argent ou d'informations personnelles n'était que de 26 minutes. Les escrocs ont bâti la confiance au moyen de conversations prolongées, 1 994 des 2 525 échanges examinés durant plus d'une heure.

Évasion par le biais de numéros jetables

L'arrestation des auteurs demeure un défi majeur. Parmi les 1 160 numéros de téléphone utilisés pour envoyer des messages, 818 n'ont été actifs qu'une seule journée avant d'être abandonnés. Les escrocs utilisaient un pool rotatif de numéros de téléphone enregistrés sous des identités volées. Les autorités sud-coréennes exigent une vérification d'identité réelle pour l'enregistrement de numéros de téléphone mobile, mais les fraudeurs ont contourné ces règles en obtenant des cartes SIM par le biais de l'usurpation d'identité ou de canaux illicites, un problème persistant que le régulateur des télécommunications du pays s'est efforcé de résoudre par des contrôles d'activation plus stricts.

Commentaires d'experts

Lee Woong-hyuk, professeur de sciences policières à l'Université Konkuk, a déclaré qu'une série de fuites de données massives a augmenté la probabilité que les escrocs exploitent des informations personnelles détaillées.

« Les gens ne doivent pas accorder immédiatement leur confiance à des SMS ou des appels téléphonique qui mentionnent des détails personnels, et le gouvernement ainsi que les entreprises doivent renforcer les mesures de sécurité pour résoudre le problème sous-jacent », a déclaré Lee.

Les résultats soulignent le risque cumulé créé lorsque des données personnelles compromises alimentent des opérations de fraude organisée — un défi que les unités de cybercriminalité de la police sud-coréenne, la Korea Communications Commission et les régulateurs financiers ont identifié comme une priorité croissante, d'autant plus que le nombre de résidents âgés actifs numériquement continue de s'élargir.

Cet article de l'Hankook Ilbo, publication sœur de The Korea Times, est traduit par un système d'IA générative et édité par The Korea Times.