Je reçois un email qui prétend venir de Lydia et qui me demande de renvoyer mon RIB en réponse si je veux récu­pé­rer mes sous, que sinon j’au­rai des frais à payer, avec une notion d’ur­gence avec  « dernier rappel ».

Un RIB par email plutôt que de me renvoyer vers le site web ?

Décompte des points : 1x louche

L’email provient d’un nom de domaine inconnu au bataillon, qui ne semble pas du tout être celui de Lydia : info.isbs.eu.

Décompte des points : 2x louche

Il n’y a aucune page Web ni sur info.isbs.eu, ni sur www.isbs.eu, ni sur isbs.eu.

Décompte des points : 3x louche

Les liens de l’email vers l’app ou les docs sont masqués derrière des redi­rec­tions click.isbs.eu, impos­sible de savoir où ça mène mais déjà le premier domaine n’est pas de confiance.

Décompte des points : 4x louche

Norma­le­ment je m’ar­rê­te­rais là. Ça ressemble à du phising sur à peu près tous les aspects. Sur un site asso­cia­tif pourquoi pas, mais pas dans le domaine finan­cier et paie­ment.

Je m’aper­ce­vrai d’ailleurs plus tard que j’ai effec­ti­ve­ment super­be­ment ignoré les emails précé­dents, proba­ble­ment à cause de ça, dont un dont le domaine de réponse (isbs.eu) est diffé­rent du domaine de l’ex­pé­di­teur (lydia-app.com, on y revien­dra), chose assez carac­té­ris­tique d’un spam.

Décompte des points : 5x louche

---

Je ne sais pas, j’ai eu un doute cette fois-ci. L’email m’in­dique un solde crédible. Je veux en avoir le cœur net.

J’ins­talle l’app Lydia en véri­fiant le nombre de télé­char­ge­ments pour m’as­su­rer que c’est la bonne et je m’iden­ti­fie après avoir bataillé parce que le bouton conti­nuer fait une jolie anima­tion mais sans passer à la page suivante tant que je n’ac­cepte pas les traceurs (vrai­ment ?).

Décompte des points : 5x louche, 1x gênant

Sur l’app j’ai un solde à zéro. Bon, je ne l’uti­lise plus mais je sais que mon solde ne devrait pas être zéro. Il y a problème.

D’ailleurs je clique sur histo­rique pour véri­fier si on ne m’a pas tiré mes sous et je retrouve mes petits, avec du crédit en dernière tran­sac­tion donc impos­sible d’avoir un solde à zéro. Wtf ?

Décompte des points : 5x louche, 2x gênant

Hors de ques­tion de m’ar­rê­ter là. Le solde c’est plus de 200 €.

---

Je repars sur l’email pour mieux comprendre. On me propose de créer un compte sur l’app Sume­ria. Là je me rappelle que Lydia avait changé de nom.

Du coup j’ai de nouveau un Lydia et mes sous sont passés ailleurs (peut être avec mon accord ou mon action, même si je ne m’en souviens plus) sans capa­cité de les retrou­ver dans le nouveau Lydia.

Décompte des points : 5x louche, 3x gênant

J’ins­talle donc l’app Sume­ria en véri­fiant sa vrai­sem­blance. Je n’ose même pas tenter de refu­ser les traceurs ce coup ci et je tente direct de m’iden­ti­fier avec le mot de passe Lydia (il m’est proposé par bitwar­den donc soit c’est reconnu comme étant le même compte soit j’ai déjà manuel­le­ment ajouté l’app Sume­ria à ce compte Lydia).

Il ne me dit pas que le mot de passe est mauvais mais me dit qu’il y a eu trop de tenta­tives (au premier essai). Pour­tant il m’avait demandé mon mot de passe après m’avoir demandé mon iden­ti­fiant, et me le rede­mande à nouveau. Je ne comprends pas.

Décompte des points : 5x louche, 4x gênant

La réini­tia­li­sa­tion de mot de passe me dit qu’ils feront une véri­fi­ca­tion d’iden­tité. Je suis dans le train donc ça va être diffi­cile, et le message du nombre de tenta­tives m’in­cite à penser qu’ils ne lais­se­ront pas passer une réini­tia­li­sa­tion sans procé­dure manuelle de leur part.

Je tente plutôt le support, en deman­dant confir­ma­tion que l’email de départ est légi­time malgré son nom de domaine, et si oui comment j’au­rais pu le savoir (sous-entendu : c’est louche, faites mieux). En même temps je signale l’his­toire du nombre de tenta­tives.

C’est un formu­laire, il faut que je laisse email et télé­phone avant de lais­ser le message. Je ne l’avais pas compris tout de suite (ça me fait arri­ver sur une zone de texte pleine page sans label) mais j’ai du cliquer trop vite.

---

Peu après je reçois un email prove­nant du même domaine qu’à l’ori­gine, isbs.eu, sauf que cette fois-ci je n’ai même pas un nom Lydia ou Sume­ria dans le champ expé­di­teur.

Décompte des points : 5x louche, 5x gênant

L’email est taggé « This message might be suspi­cious or spam. » par Gmail.

Décompte des points : 6x louche, 5x gênant

Tout au moins le message semble être une réponse à une demande de support, ce qui crédi­bi­lise le nom de domaine. Il me demande de répondre par email avec mon numéro de télé­phone. Je suis pour­tant super convaincu de l’avoir donné dans le formu­laire de support.

Décompte des points : 7x louche, 5x gênant

La coïn­ci­dence serait trop forte. Je consi­dère que l’email est légi­time et je donne mon télé­phone.

Je reçois alors encore un email, cette fois-ci de « xxx de Lydia Solu­tions » mais le domaine expé­di­teur a changé (!?) en cours de conver­sa­tion.

Décompte des points : 8x louche, 5x gênant

Le nouveau nom de domaine est lydia-app.com. Ok, ça parle de Lydia mais le site web connu de Lydia est lydia.me. C’est quoi ce mic-mac ?

Décompte des points : 9x louche, 5x gênant

Je vais voir ce nouveau nom de domaine, qui se révèle une redi­rec­tion vers sume­ria.com (et donc vers Sume­ria et non vers Lydia, alors que le nom réfé­rence Lydia).

Décompte des points : 9x louche, 6x gênant

Ok, et cet email me dit d’al­ler sur une page qui va déclen­cher un code par SMS et qu’il faut envoyer ce code SMS par réponse email (!!). J’ai véri­fié deux fois, on me demande de renvoyer par email un code de confir­ma­tion SMS, le truc qu’on dit toujours partout de ne jamais faire.

Décompte des points : 10x louche, 6x gênant
(je ne compte qu’un seul point louche mais ça en méri­te­rait bien 5 ou 6)

Le lien sur lequel cliquer est sur lydia-app.com (pas lydia.me ni sume­ria.com) et cette fois-ci ne redi­rige pas vers Sume­ria. J’ai une page vide, avec un unique bouton au centre de la page. Rien d’autre, dont aucun élément de réas­su­rance. Le certi­fi­cat TLS est un Let’s Encrypt, donc le nom de domaine peut appar­te­nir à n’im­porte qui.

Décompte des points : 11x louche, 6x gênant

Je suis joueur, je commence vrai­ment à croire à un truc hyper mal foutu plutôt qu’à une malveillance. Je clique.

Je reçois un SMS avec un code et un texte qui dit expli­ci­te­ment d’en­voyer ce code par email. J’ap­plau­dis cette réas­su­rance, j’en avais besoin vu la sensi­bi­lité de l’opé­ra­tion et c’est la première de tout le parcours.

Décompte des points : 11x louche, 6x gênant, 1x réas­su­rance

J’en­voie donc ce code SMS par email (j’ai dû me forcer). Le support me répond que trois adresses sont valides pour les échanges, une en @info.sume­ria.com, une en @news.sume­ria.eu, et une en @info.isbs.eu.

Les deux premières j’au­rais accepté la légi­ti­mité d’of­fice. La dernière j’ai quand même du mal à comprendre mais pourquoi pas… si on oublie que c’est une adresse en @lydia-app.com qui me le dit, et qu’elle n’est pas dans la liste. Je ne pinaille pas, c’est impor­tant. Je n’ai pas non plus l’adresse en @isbs.eu par laquelle j’ai eu le début d’échange.

Décompte des points : 11x louche, 7x gênant, 1x réas­su­rance
(j’ai hésité entre louche et gênant, je vais consi­dé­rer là que c’est un problème de complé­tude de réponse du support donc juste gênant)

On me propose aussi de réini­tia­li­ser mon mot de passe à l’aide de ma carte d’iden­tité ou de ma carte bancai­re… qui a expiré depuis.

Décompte des points : 11x louche, 8x gênant, 1x réas­su­rance

Pas grave, je vais répondre au mail du tout départ avec mon RIB main­te­nant que j’ai une bonne confiance qu’il est légi­time. Tant pis pour le compte Sume­ria. Tout ça ne m’a pas donné assez confiance pour le restau­rer.

J’ai quand même été aidé après 20h le soir, rapi­de­ment, par email. C’est posi­tif.

Décompte des points : 11x louche, 8x gênant, 1x réas­su­rance, 1x posi­tif

De façon ironique mais quand même réel­le­ment pour aider à amélio­rer, je lui répond que son email à elle n’est pas sur la liste des adresses légi­times et que tout ça n’est pas top pour les bonnes pratiques de sécu­rité.

Là elle me répond avec un lien qui donne effec­ti­ve­ment les adresses légi­times possibles. Je me rends compte que j’au­rais pu m’épar­gner tout ça en cher­chant sur google le nom de domaine. Je serais tombé sur cette page. Fati­gué, ça n’a pas été mon réflexe mais est-ce vrai­ment à moi de compen­ser leur fonc­tion­ne­ment louche ? Je compte une réas­su­rance utile quand même.

Décompte des points : 11x louche, 8x gênant, 2x réas­su­rance, 1x posi­tif

Vous savez quoi ? La page ne contient effec­ti­ve­ment que les trois adresses qu’elle m’a donné, il manque donc une adresse en @isbs.eu (seul un sous-domaine « info » est listé, et pas avec le même utili­sa­teur) et rien ne liste le domaine lydia-app.com avec lequel je discute et qui m’a demandé un code SMS.

Décompte des points : 12x louche, 8x gênant, 2x réas­su­rance, 1x posi­tif
(là c’est point louche vu que la page web offi­cielle et plus une discus­sion)

Elle m’a répondu à côté. Je lui dit que son email n’est pas listé là-bas non plus. Je mets un smiley, je suis plus amusé mais je le signale expli­ci­te­ment quand même parce que sinon ça ne sera pas corrigé.

Malheu­reu­se­ment elle insiste. Elle me dit que c’est bien sur la page web (mais non). Je sens que je l’agace.

Décompte des points : 12x louche, 9x gênant, 2x réas­su­rance, 1x posi­tif

J’in­siste moi-même. Désolé. J’ai besoin d’avoir l’im­pres­sion que ce sera traité. Je cite la page, expli­cite que le domaine n’y est pas. Mon propos est peut-être moi aussi un peu agacé. Je dis que je m’ar­rê­te­rai là. Ma ques­tion a eu une réponse la suite c’était pour aider, pas pour me prendre la tête avec une personne du support qui est proba­ble­ment de bonne volonté.

Je reçois un dernier email pour me dire que les adresses données sont unique­ment pour la commu­ni­ca­tion offi­cielle de Sume­ria et que le service client utilise trois autres adresses en @news.lydia-app.com, @info.lydia-app.com et @lydia-app.com. J’ai un peu de mal à voir pourquoi un news et un info pour du support et en quoi le support n’est pas offi­ciel ou ne méri­te­rait pas d’être crédi­bi­lisé sur la page web de réas­su­rance mais je ne vais pas relan­cer, ce ne sont pas mes oignons.

---

Demain je tente­rai d’en­voyer on RIB pour récu­pé­rer mon solde. Je n’ai pas hâte. L’ex­pé­rience ma très forte­ment refroidi côté sérieux et confiance.

Pour l’ins­tant, si quelqu’un de Lydia/Sume­ria me lit, je me doute qu’il y a des raisons à tout ce circuit, mais vous êtes quand même en train de deman­der à vos utili­sa­teurs de s’ha­bi­tuer et d’agir à l’en­contre de tout ce qu’on présente partout comme des pratiques de sécu­rité contre le phishing :

• Ne pas prendre en compte les emails venant de domaines incon­nus
• Ne pas prendre en compte les emails avec une adresse de réponse étrange ou incon­nue
• Ne pas cliquer sur des liens menant vers des cibles masquées ou incon­nues
• Ne pas envoyer d’in­for­ma­tions person­nelle ou sensible par email à quelqu’un qui est censé les connaitre déjà
• Ne JAMAIS envoyer de code de confir­ma­tion SMS par email ou ailleurs que sur la page de login offi­cielle

Pour une app finance-paie­ment, j’at­tends autre chose. Peu importe les raisons, ça mérite de faire mieux. Il y a des moyens. Au mini­mum :

• une inter­face web pour les messages du support, héber­gée par le nom de domaine offi­ciel prin­ci­pal (ou un sous-domaine de celui-ci)
• la capa­cité de retrou­ver sur une page du domaine offi­ciel prin­ci­pal (ou un sous-domaine de celui-ci) les messages d’in­for­ma­tion impor­tants envoyés par email
• les envois de données sensibles (comme un RIB) sont à faire sur une page web du du domaine offi­ciel prin­ci­pal (ou un sous-domaine de celui-ci) et pas par email
• des pages web qui listent tous les domaines et adresses qui envoient des emails en votre nom (support inclus)