Le téléchargement de fichiers APK via des sources non officielles expose les utilisateurs de PhonePe et Google Pay à des risques immédiats de vol de fonds bancaires.
Selon le Maharashtra Times, l’installation de ces applications tierces permet aux cybercriminels d’accéder à distance aux écrans des smartphones, facilitant ainsi le détournement des codes PIN et des mots de passe UPI.
Ces applications malveillantes exploitent souvent des autorisations accordées par l’utilisateur pour intercepter les messages SMS. Ce procédé permet aux pirates de récupérer les mots de passe à usage unique (OTP) avant même que le propriétaire du téléphone ne puisse les consulter.
D’abord, l’accès à distance : certains fichiers APK dissimulent un code permettant aux attaquants d’observer en temps réel les actions effectuées sur l’écran, notamment lors de l’ouverture des applications de paiement. Ensuite, les attaques par superposition, où le malware affiche une interface contrefaite par-dessus l’application bancaire officielle. L’utilisateur, pensant être sur son application habituelle, saisit ses identifiants qui sont alors transmis directement aux cybercriminels.
Pour limiter ces risques, le Maharashtra Times recommande de désactiver l’option « Installer des applications inconnues » dans les paramètres de sécurité d’Android. Il est également conseillé d’utiliser des verrouillages biométriques ou des mots de passe spécifiques pour chaque application de paiement, plutôt que de se reposer uniquement sur le verrouillage de l’écran du téléphone.
Les utilisateurs doivent éviter de télécharger des applications depuis des liens WhatsApp, Telegram ou des sites web non vérifiés. En cas de fraude avérée, les victimes sont invitées à composer le 1930, le numéro national d’assistance cyber, ou à enregistrer une plainte sur le portail officiel cybercrime.gov.in.
La Reserve Bank of India (RBI) rappelle que la saisie d’un code PIN UPI n’est jamais nécessaire pour recevoir de l’argent. Toute demande de saisie de PIN dans ce contexte doit être considérée comme une tentative de fraude. Il est également fortement déconseillé d'installer des outils de partage d'écran comme AnyDesk ou TeamViewer à la demande d'un tiers.
Enfin, les utilisateurs doivent privilégier les sections « Aide » ou « Support » intégrées aux applications officielles pour contacter le service client, plutôt que de chercher des numéros de téléphone via un moteur de recherche, lesquels s’avèrent fréquemment frauduleux selon le Maharashtra Times.
Sur le même sujet