Doctolib usurpé dans le cadre d'une vaste arnaque, avec un e-mail qui promet un kit médical gratuit
Doctolib alerte ses utilisateurs : une vague de phishing usurpe son nom pour promettre un « Medicare Kit » gratuit. L'entreprise détaille les signaux d'alerte à connaître pour ne pas se faire piéger par cette arnaque en ligne.
Depuis plusieurs semaines, des e-mails et SMS usurpant l'identité de Doctolib promettent aux internautes un kit médical gratuit, sous prétexte d'une sélection exclusive à un sondage santé. Ces messages soignés, avec logo bleu et mise en page identique à s'y méprendre, cachent une tentative de phishing, technique dont on rappelle qu'elle consiste à imiter une marque de confiance pour soutirer des données personnelles, et qui cible en priorité les publics les plus vulnérables. Fait notable : des membres de Doctolib ont eux-mêmes reçu ce mail frauduleux, et nous aussi, à plusieurs reprises.
Comme toujours en matière de phishing, ça commence avec un e-mail. L'un des exemples que l'on peut donner sur cette campagne frappant le service extrêmement populaire Doctolib et ses utilisateurs et l'annonce faite au destinataire que celui-ci a été « sélectionné » parmi des centaines de bénéficiaires pour recevoir gratuitement un kit médical complet (tensiomètre, oxymètre, thermomètre infrarouge et trousse de premiers secours), livré à domicile sans frais. Il suffit, promet-on, de répondre à un rapide sondage santé ou de cliquer sur un bouton pour valider sa commande en quelques secondes. Certains messages vont jusqu'à afficher le pseudo ou l'identifiant du destinataire en gros caractères, histoire de renforcer l'impression d'une sélection personnelle et légitime.
Dans les faits, plusieurs versions circulent. Certaines imitent plus ou moins fidèlement la charte graphique de Doctolib avec son logo bleu caractéristique, et d'autres adoptent un style plus épuré mais qui peut évidemment tromper les moins vigilants. Toutes redirigent vers des formulaires destinés à collecter des données personnelles, voire bancaires, sous couvert d'un cadeau providentiel.
Celle ou celui qui prend quelques secondes pour regarder l'adresse d'expéditeur peut vite s'apercevoir qu'il n'y rien d'officiel là-dedans. Comme nous avons pu le remarquer, certains e-mails transitent par des serveurs relais situés en Argentine, et d'autres affichent des noms de domaine en « .us » qui n'ont aucun lien avec l'entreprise, bien loin des domaines habituels de Doctolib. Une incohérence que les filtres anti-spam de Gmail repèrent d'ailleurs très souvent d'eux-mêmes, puisqu'ils classent automatiquement les messages en indésirables avant même que l'utilisateur n'ait à s'en soucier, fort heureusement.
Ce que Doctolib ne vous demandera jamais
Doctolib a joue la carte de la transparence en publiant noir sur blanc ses propres critères d'authentification. L'entreprise, qui appelle ses utilisateurs à la plus grande vigilance, rappelle que les emails liés à un rendez-vous depuis sa plateforme proviennent uniquement de l'adresse [email protected], tandis que les communications d'information sont envoyées depuis [email protected] ou [email protected]. Concernant les SMS, car le phishing s'exprime aussi pleinement dans le format, l'expéditeur affiche toujours le nom « Doctolib », jamais un numéro de téléphone personnel.
L'autre signal à signaler, est que sur Gmail et Yahoo, les vrais courriers électroniques du service affichent un badge de vérification bleu, gage d'authenticité impossible à falsifier. Surtout, l'entreprise le rappelle et elle a raison de le faire : elle ne demande jamais de coordonnées bancaires ni de payer quoi que ce soit par SMS ou par e-mail, quel que soit le prétexte, pour offrir un cadeau à ses utilisateurs.
En cas de doute, mieux vaut ignorer totalement le lien reçu et se rendre directement sur doctolib.fr ou l'application officielle pour vérifier son compte. Les e-mails suspects peuvent être signalés via Signal Spam, et les SMS frauduleux transférés gratuitement au 33700. Doctolib invite chacun à en parler autour de lui, notamment aux proches les moins à l'aise avec ces pièges numériques, pour éviter qu'ils ne tombent dans le panneau.