BillBait : votre téléphone autorise-t-il des paiements sans que vous en ayez l’intention ?

Vous vous inscrivez à un service qui vous demande de vérifier votre numéro de téléphone. Vous recevez un SMS contenant un code. Avant même que vous n’ouvriez le message, votre téléphone en extrait le code et vous propose de le saisir automatiquement. Tout se fait en un seul geste : c’est presque trop facile.

Cependant, vous avez peut-être non seulement confirmé votre numéro de téléphone, mais aussi autorisé un abonnement récurrent. Que faire ? Si votre téléphone vous facilite une décision au point de vous éviter toute réflexion, savez-vous encore exactement ce que vous acceptez ?

Découvrez BillBait, un parcours d’abonnement trompeur mis au jour par les chercheurs en menaces de Gen, l’entreprise à l’origine d’Avast, ou consultez l’analyse technique de BillBait sur le blog de Gen.

Qu’est-ce que BillBait ?

BillBait est le nom que nous donnons à une méthode d’abonnement trompeuse qui utilise le remplissage automatique des codes SMS pour vous faire saisir un code d’autorisation de paiement sans ouvrir le message contenant l’ensemble des conditions de l’abonnement. Si cette méthode vous semble sournoise, c’est probablement parce qu’elle l’est.

Voici un exemple de BillBait découvert par nos chercheurs en menaces sur l’Internet polonais, accompagné de notre traduction.

Par exemple, vous saisissez votre numéro de téléphone en pensant simplement le vérifier. Vous recevez ensuite un SMS contenant un code et utilisez la suggestion de remplissage automatique pour le renseigner. Mais vous n’avez pas compris que ce code autorisait un abonnement facturé sur votre compte mobile.

C’est cela, BillBait. Le SMS contenait des informations importantes, notamment le service, le prix et la fréquence de facturation, mais vous ne l’avez probablement jamais ouvert pour le lire.

La différence entre approuver une transaction en connaissance de cause et agir par automatisme est importante. Le remplissage automatique des codes SMS ne prélève pas lui-même d’argent, mais il peut vous permettre de passer plus facilement à côté du message qui explique justement que le code autorise un paiement.

Fonctionnement des abonnements BillBait

BillBait commence généralement par la réception d’un code de vérification par SMS qui autorise un abonnement et en précise le prix et la fréquence de facturation. Mais le remplissage automatique vous permet de renseigner le code sans ouvrir le message. Vous risquez donc d’accepter des paiements récurrents sans jamais en voir les conditions.

BillBait peut transformer une habitude numérique quotidienne en engagement financier récurrent. Un site web vous demande de vérifier votre numéro de téléphone. Vous le saisissez pour continuer ou accéder à un service.

Vous avez alors autorisé un paiement récurrent qui sera facturé sur votre compte mobile. La facturation par l’opérateur porte l’achat sur votre compte téléphonique au lieu d’exiger un paiement séparé par carte. Ce montant inconnu apparaît ainsi sur votre facture mobile. Le piège, c’est que le geste ayant autorisé ce paiement peut vous sembler identique à la saisie des innombrables codes de vérification que vous avez déjà utilisés.

BillBait est-il une arnaque ?

Même s’il ressemble beaucoup à une arnaque, BillBait relève davantage du marketing trompeur que d’une cybermenace classique. Il peut toutefois être considéré comme une arnaque selon la législation applicable. Le marketing trompeur désigne des pratiques qui vous poussent à effectuer des achats que vous n’aviez pas l’intention de faire.

Techniquement, le SMS explique bien ce que le code autorise. Ces informations peuvent aussi figurer sur le site web ou dans la publicité d’origine, même si elles sont peu visibles. Ce n’est pas parce que ces détails ne sautent pas aux yeux que vous ne pouvez pas les lire si vous le souhaitez.

BillBait fonctionne parce que les entreprises qui vous envoient ces SMS comptent sur le fait que vous ne lirez pas les petits caractères. Vous pouvez penser qu’il s’agit d’une simple vérification de votre numéro, alors que le code autorise en réalité un abonnement récurrent.

BillBait rappelle ainsi que la protection de votre argent en ligne ne se limite pas à la lutte contre les cybermenaces à proprement parler. Parfois, le risque vient de l’intégration d’une technologie légitime dans un parcours trompeur.

Comment se protéger contre les abonnements BillBait

La meilleure protection contre BillBait est plus simple qu’il n’y paraît. Il suffit de rétablir l’étape supprimée par le remplissage automatique. Voici quelques points essentiels et conseils pour votre sécurité en ligne.

• Ouvrez le SMS avant d’utiliser le code : si un site web vous envoie un code de vérification, n’appuyez pas machinalement sur la suggestion de remplissage automatique. Ouvrez d’abord le message et lisez-le. Vérifiez le nom du service, le prix et le caractère ponctuel ou récurrent du paiement.

• Considérez « Vérifiez votre numéro de téléphone » comme une action, pas une explication : lorsqu’un site web vous demande de vérifier votre numéro, il ne vous explique pas nécessairement tout ce que l’étape suivante implique. Prenez le temps de réfléchir lorsqu’on vous demande un numéro de téléphone, puis un code SMS, surtout si vous avez suivi une publicité, un code QR ou une page web inconnue.

• Faites preuve d’une vigilance particulière face aux codes QR dans votre environnement physique : des utilisateurs ont signalé des cas liés à BillBait impliquant des codes QR pour le paiement du stationnement et la recharge de véhicules électriques. Dans ces situations, une demande de numéro de téléphone suivie d’une confirmation par SMS peut sembler plus acceptable, car la personne s’attend déjà à effectuer une transaction.

• Vérifiez votre facture mobile : ces abonnements pouvant utiliser la facturation par l’opérateur, ne limitez pas vos vérifications antifraude à vos relevés bancaires et de carte de crédit. Examinez votre facture mobile à la recherche de frais récurrents ou de frais de services tiers que vous ne reconnaissez pas. Si vous en trouvez, contactez votre opérateur mobile via son application officielle, son site web ou le numéro de son service client. Demandez qui perçoit le paiement, comment résilier l’abonnement et comment contester les frais.

• Conservez les justificatifs : conservez les SMS concernés et des captures d’écran du site web ou de la publicité, au cas où vous en auriez besoin.

La facilité ne doit pas vous priver de votre pouvoir de décision

Depuis des années, les téléphones et les navigateurs sont conçus pour nous épargner les tâches numériques fastidieuses. Qu’il s’agisse des gestionnaires de mots de passe, du remplissage automatique des coordonnées de paiement ou du transfert d’un code SMS à six chiffres depuis un message vers un site web sans quitter la page, c’est généralement exactement ce que vous souhaitez.

BillBait met en évidence le risque lié à l’habitude de cette facilité : vous pouvez finir par considérer le remplissage automatique comme une instruction plutôt que comme une suggestion. Lorsqu’un code de vérification vous semble familier, ou que votre téléphone reconnaît le message et vous propose le code, l’opération peut vous paraître encore plus légitime.

Mais votre téléphone ne comprend pas nécessairement votre intention. Il peut savoir où insérer le code sans savoir si vous souhaitiez réellement effectuer l’achat associé.

Questions fréquentes

Un code de vérification par SMS peut-il vous engager dans un abonnement ?

Oui, lorsque le code sert précisément à autoriser un paiement. Dans les parcours BillBait examinés par les chercheurs, une personne pensant simplement vérifier son numéro de téléphone pouvait en réalité autoriser un abonnement récurrent facturé sur son compte mobile.

Le remplissage automatique des codes SMS entraîne-t-il lui-même un prélèvement ?

Non. Le remplissage automatique renseigne le code, mais ne prélève pas lui-même d’argent. Le danger vient du fait que le code proposé par le remplissage automatique peut être un code d’autorisation de paiement. Cette fonction peut vous permettre de l’utiliser sans ouvrir le message qui explique la facturation.

Qu’est-ce que la facturation par l’opérateur ?

La facturation par l’opérateur permet de porter les achats sur votre compte mobile plutôt que de les régler séparément par carte de crédit ou de débit. BillBait utilise des parcours d’abonnement trompeurs reposant sur ce type de paiement.

Comment éviter BillBait ?

Ouvrez le SMS et lisez l’intégralité du message avant de saisir son code ou d’utiliser le remplissage automatique. Vérifiez le nom du service, le prix et la fréquence de facturation. Arrêtez la procédure si le message mentionne un achat ou un abonnement récurrent auquel vous ne vous attendiez pas.