Phishing Netflix à La Réunion : des données bancaires ciblées via SMS frauduleux

Les coordonnées bancaires des abonnés réunionnais de Netflix sont dans le viseur d’une campagne de phishing active, conçue pour siphonner des données financières via un SMS frauduleux émis depuis un numéro local.

Le procédé est économiquement ciblé. Le message invoque un impayé d’abonnement : “Votre dernier prélèvement n’a pas abouti. Merci de mettre à jour vos informations de facturation sous 24 h sous peine d’une suspension de votre abonnement.” La contrainte temporelle de vingt-quatre heures est calibrée pour court-circuiter la réflexion de la victime et déclencher une réaction immédiate. Le lien proposé ne renvoie pas vers le domaine officiel de Netflix, signal d’alerte accessible à quiconque vérifie l’adresse URL avant de cliquer.

L’enjeu est direct : des numéros de carte de paiement et des coordonnées bancaires, une fois collectés, ouvrent aux cybercriminels l’accès aux comptes financiers de leurs victimes. Le site gouvernemental masecurite.interieur.gouv.fr définit ce type d’attaque, le phishing ou hameçonnage, comme “un SMS ou un e-mail frauduleux destinés à tromper la victime pour l’inciter à communiquer des données personnelles ou bancaires en se faisant passer pour une personne de confiance”, soulignant que “ces techniques d’arnaque aux SMS évoluent constamment.”

Ce qui rend cette campagne particulièrement rentable pour ses auteurs, c’est le choix de la marque usurpée. Netflix, dont le modèle commercial repose intégralement sur la facturation dématérialisée et le prélèvement automatique, présente une forte pénétration commerciale à La Réunion comme ailleurs. Les abonnés sont conditionnés à recevoir des notifications de paiement. La plateforme constitue donc un vecteur d’usurpation à haut taux de réponse potentiel, ce qui maximise le rendement de l’attaque pour un coût d’exécution minimal.

Netflix a pourtant multiplié les mises en garde sur son propre site. La plateforme y affirme : “Nous ne vous demanderons jamais de communiquer vos informations personnelles dans un e-mail ou un SMS”, énumérant les données qu’elle ne sollicite jamais : numéros de cartes de paiement, coordonnées bancaires et mots de passe de compte. Elle précise également qu’elle ne demande jamais à ses clients de procéder à un paiement sur le site web d’un tiers ou par l’intermédiaire d’un fournisseur tiers, distinction capitale pour des abonnés habitués à gérer leur facturation directement via l’interface officielle.

La logique économique du phishing repose entièrement sur la coopération involontaire de la victime. Les cybercriminels ne peuvent obtenir que les informations que les utilisateurs leur transmettent eux-mêmes. La conduite à tenir est simple : ne pas cliquer sur un lien renvoyant vers une URL non reconnue. Pour ceux qui auraient déjà cliqué, la recommandation est formelle, ne saisir aucune information sur le site qui s’ouvre alors.

Par contraste, la vérification directe auprès de la plateforme concernée, sans passer par les liens contenus dans le message suspect, constitue la seule ligne de défense fiable. Dans un environnement où les abonnements numériques se généralisent et où la facturation automatique est devenue la norme pour des millions d’utilisateurs, la crédibilité apparente de ce type de sollicitation représente un risque croissant pour le patrimoine financier des abonnés. La question qui demeure ouverte est de savoir si les plateformes de streaming, dont les modèles économiques amplifient mécaniquement l’exposition de leurs bases d’abonnés à ce type d’usurpation, renforceront leurs dispositifs d’authentification pour réduire la surface d’attaque.