Malgré l’ annonce bizarre (et suspecte) la semaine dernière de 14 cybergangs affirmant qu’ils ont « décidé de devenir obscurs », les experts signalent une activité cybercriminelle en cours liée à l’un des gangs les plus célèbres du groupe et avertissent les travailleurs du service d’assistance d’être à l’affût. Ces groupes ont réinventé et transformé d’anciennes tactiques qui exploitent la gentillesse humaine.
Scattered Spider, un collectif cybercriminel de jeunes pirates informatiques connus pour son chaos créatif, dirige cette accusation, ciblant les centres d’assistance aux États-Unis et au Royaume-Uni, au moins depuis le printemps. Loin de prendre sa retraite, le groupe semble tout juste se lancer, après avoir peaufiné une nouvelle marque de piratage qui utilise une gamme de technologies de pointe pour élever l’ ingénierie sociale au niveau supérieur.
Cette année, elle a commencé par un appel téléphonique au géant britannique de la vente au détail Marks & Spencer, puis au Co-op Group, puis à Harrods. L’explosion des détaillants a dominé les gros titres britanniques pendant des semaines. Ils ont ensuite touché des compagnies d’assurance américaines.
Plutôt que de mener des rançongiciels ou des attaques zero-day, ces pirates ont usurpé l’identité des employés, diffusé des histoires crédibles et convaincu le personnel du service d’assistance informatique de réinitialiser les mots de passe et de désactiver l’ authentification multifacteur (AMF). Cela a donné aux attaquants les clés du royaume. De plus, dans certains cas, les intrus ne se sont pas contentés de chiffrer les systèmes ; ils ont exfiltré discrètement les données, créant ainsi une nouvelle vague de menaces d’extorsion pure qui ne nécessitaient aucun logiciel malveillant.
Cette technique évoluée est de plus en plus populaire. Dans de nombreux cas, les attaquants ajoutent du réalisme à leurs tromperies en utilisant des outils audio factices pour usurper l’identité des dirigeants ou du personnel informatique, y compris les agents du service d’assistance eux-mêmes. En fin de compte, les véritables agents du service d’assistance sont laissés jongler avec des appels urgents, de fausses identités et des plaidoiries paniquées de ce à quoi ressemblent, mais qui ne sont peut-être pas, de vrais collègues.
« C’est comme une attaque d’ingénierie sociale classique », sauf qu’elle utilise une technologie moderne pour se lancer, déclare Errol Weiss, directeur de la sécurité sociale pour Health-ISAC (Information Sharing and Analysis Center). « Les adversaires racontent une histoire convaincante, peut-être que quelqu’un a perdu son téléphone et a besoin de sa réinitialisation de l’AMF, et le service d’assistance, qui tente d’être utile, finit par abandonner l’accès. »
Bienvenue au service d’assistance.
Les rapports de leur retraite ont été largement exagérés
Depuis sa création en 2022, Scattered Spider, un collectif principalement anglophone composé de jeunes hommes et d’adolescents des États-Unis et du Royaume-Uni, est rapidement passé d’escroqueries de remplacement de SIM à des attaques de ransomware et d’extorsion guidées par précision. Auparavant, des groupes comme ceux-ci pouvaient avoir employé des tactiques telles que l’ hameçonnage pour dupliquer la confiance des employés dans les actions mal conseillées, comme cliquer sur des liens qui lancent des logiciels malveillants. Désormais, ils utilisent des combinaisons d’ hameçonnage vocal (Vishing), d’hameçonnage par SMS et d’hameçonnage) et d’outils d’IA pour aider les travailleurs de première ligne.
« Les adversaires racontent une histoire convaincante, peut-être que quelqu’un a perdu son téléphone et a besoin de la réinitialisation de sa MFA, et le service d’assistance, qui tente d’être utile, finit par abandonner l’accès. »Errol Weiss, CSO, Health-ISAC (Centre de partage et d’analyse des informations)
La tactique fonctionne. L’année dernière, Scattered Spider était à elle seule derrière au moins six campagnes de vishing percutantes, ciblant les employés des secteurs de la vente au détail, de l’assurance et de l’aviation. Les méthodes du groupe sont agressives et en constante évolution.
Le point d’entrée est banal. Les conséquences peuvent être massives. L’ attaque de Marks & Spencer, par exemple, coûtera au détaillant environ 400 millions USD. Environ 6,5 millions de personnes ont fait voler leurs données lors de l’attaque Co-op. Et Harrods n’a pas pu prendre de vêtements en ligne et de commandes à domicile pendant une semaine. Cela n’a pas divulgué l’impact financier. (L’Agence nationale du crime du Royaume-Uni a annoncé les arrestations de quatre auteurs présumés de cette cyberattaque : une femme de 20 ans et trois adolescents de sexe masculin, âgés de 17 à 19—in juillet.)
[Lire également : Qu’est-ce que la gestion des identités et des accès ?]
Une fois à l’intérieur, les attaquants installent des ransomwares ou siphonnent silencieusement les données sensibles. De plus en plus, c’est ce dernier. L’extorsion sans chiffrement, où les attaquants volent des données et demandent ensuite un paiement pour les garder privées, est plus rapide, plus silencieuse et plus rentable. Dragos, une société de cybersécurité spécialisée dans les attaques d’infrastructure, rapporte que ce modèle d’« extorsion de données pures » gagne rapidement en popularité, en particulier en Europe.
Attaques du service d’assistance : quel est le prochain secteur ?
Les entreprises de vente au détail et les assureurs ont été des cibles de choix cette année. Mais Scattered Spider a un modèle : frappez un secteur durement, puis passez à autre chose.
Il est largement considéré comme étant à l’origine des 2023 cyberattaques de MGM Resorts International et de Caesars Entertainment, qui impliquaient l’utilisation du vishing pour accéder aux systèmes d’entreprise et déployer des ransomwares. Les autorités suspectent que le groupe est à l’origine d’une série de cyberattaques cet été contre les compagnies aériennes. Le groupe fait partie des trois personnes qui ont revendiqué la responsabilité de la cyberattaque dévastatrice de ce mois-ci contre Jaguar Land Rover, qui a déclenché des arrêts de fabrication mondiaux et des centaines de millions de dollars de pertes estimées. Et un rapport récent de la tenue d’ analyse des menaces ReliaQuest suggère que les services financiers et le secteur technologique pourraient être les prochaines cibles.
« Certains secteurs sont plus à risque », déclare Arda Büyükkaya, analyste principale des renseignements sur les cybermenaces chez EclecticIQ. « Les secteurs de la vente au détail, de la santé et similaires sont particulièrement vulnérables, car ils disposent souvent d’opérations de centre d’assistance de grande envergure, d’environnements de travail rapides et de processus de vérification d’identité flexibles que les attaquants peuvent exploiter plus facilement. »
Méthodologie moderne : voici comment fonctionnent les attaques du service d’assistance
Les cybercriminels exploitent LinkedIn, les réseaux sociaux et les vidages de failles (bases de données des noms d’utilisateur, mots de passe et autres détails personnels volés) pour créer des profils d’employés détaillés. Ensuite, ils passent un appel par vishing à un service d’assistance, se faisant souvent passer pour un cadre itinérant qui a perdu l’accès à son téléphone et à son e-mail. Ils tombent juste assez de lingo d’initiés et d’urgence pour avoir l’air légitime. Certains usurpent même les numéros de téléphone réels de l’entreprise ou enregistrent des domaines d’hameçonnage, comme « vpn-yourcompany-helpdesk.com ».
« Les centres d’assistance sont des cibles attrayantes et vulnérables, car leur personnel est formé pour résoudre les problèmes rapidement. »Arda Büyükkaya, analyste senior en cybermenaces chez EclecticIQ
« Les centres d’assistance sont des cibles attrayantes et vulnérables, car leur personnel est formé pour résoudre rapidement les problèmes, que les attaquants exploitent en créant des scénarios émotionnels urgents pour les pousser à contourner les protocoles de sécurité », déclare Büyükkaya. « De plus, les centres d’assistance ont souvent accès à des fonctions hautement privilégiées telles que les réinitialisations de mot de passe et l’authentification multifacteur, ce qui en fait des points de contrôle clés. »
Cet accès n’est pas toujours utilisé pour les perturbations. De plus en plus, elle est utilisée pour la furtivité.
« L’hameçonnage prend en charge l’extorsion pure en permettant aux attaquants d’accéder silencieusement aux systèmes sans utiliser de logiciel malveillant ou de chiffrement », déclare Büyükkaya. « Au lieu de cela, ils volent des données sensibles , puis menacent de les divulguer à moins qu’une rançon ne soit payée. Cette méthode est à faible risque pour les attaquants, rapide à exécuter et passe souvent inaperçue jusqu’à ce que la demande d’extorsion soit faite. »
Planifier une réponse aux attaques du service d’assistance
Alors, que peuvent faire les entreprises à ce sujet ?
« [Donnez aux travailleurs les moyens de tout remettre en question] s’ils pensent vraiment que quelque chose ne va pas, qu’un appel n’est pas légitime ou que cela n’a pas de sens. »Christopher Hadnagy, PDG, ingénieur social
« Les équipes de sécurité peuvent prendre des mesures immédiates, telles que toujours rappeler les personnes à l’aide de numéros de contact fiables, mettre en œuvre des processus de vérification en plusieurs étapes au lieu de s’appuyer uniquement sur des appels téléphoniques, et exiger des phrases secrètes pour les actions à haut privilège telles que la réinitialisation des mots de passe », déclare Büyükkaya. « Ils doivent également vérifier les identités via une webcam ou exiger une vérification en personne pour les actions sensibles. Une formation régulière pour le personnel du service d’assistance, y compris des simulations d’ingénierie sociale, et l’application de règles claires pour arrêter les demandes urgentes ou à haut risque, sont également des étapes critiques. »
L’une des défenses les plus efficaces consiste à former les employés du centre d’assistance sur ce qu’il faut surveiller, a déclaré Christopher Hadnagy, PDG de Social-Engineer, une société de conseil et de formation en sécurité, dans un récent webinaire. Les anciennes règles de base telles que la confiance dans les voix que vous connaissez et la méfiance à l’égard de celles qui ne vous sont pas familières ou de celles qui ont un accent ne s’appliquent plus. La technologie moderne de contrefaçon profonde peut générer des enregistrements convaincants, et des outils alimentés par l’IA comme FraudGPT peuvent même rendre n’importe quel accent local, a-t-il déclaré.
Büyükkaya affirme qu’une partie de cette formation doit consister à informer les employés sur les signaux d’alarme, comme les demandes urgentes de pression du personnel pour ignorer les étapes de vérification, les appelants qui semblent avoir une connaissance approfondie des systèmes internes, les demandes de réinitialisation de mot de passe ou d’AMF sans preuve de sauvegarde, les appels de numéros inconnus ou usurpés, et les demandes de renseignements effectuées à des heures impaires ou à partir d’emplacements inhabituels.
Un autre type de « piratage » du service d’assistance : soutenir les soupçons
La formation doit également porter sur l’autonomisation.
Les employés du service d’assistance doivent savoir que « s’ils ont vraiment l’impression que quelque chose ne va pas, qu’un appel n’est pas légitime ou qu’il n’a pas de sens », ils peuvent le remettre en question, l’arrêter et le signaler sans conséquence, même s’il s’agissait de leur patron ou PDG, a déclaré Hadnagy dans le webinaire.
Hadnagy a fait référence à un exemple 2024 dans lequel un cadre de Ferrari a reçu des messages et même un appel téléphonique fictif de la part d’une personne se faisant passer pour le PDG Benedetto Vigna. Suspect, le cadre a demandé à l’appelant de se souvenir d’un livre que Vigna avait récemment recommandé. Lorsque l’imposteur n’a pas pu répondre, la tentative s’est rapidement déroulée.
« Cette seule question a permis à Ferrari d’éviter une brèche massive », a déclaré M. Hadnagy. « Et pourquoi ? Parce que le cadre n’avait pas peur que s’il remettait en question le vrai PDG, il aurait été réprimandé, réprimandé ou honteux. Il était habilité à savoir qu’il avait le pouvoir de remettre en question ce type au téléphone, et cela a arrêté la violation. »
Conseils gouvernementaux et autres conseils d’experts pour les entreprises américaines et britanniques
Le Centre national de cybersécurité (National Cyber Security Centre, NCSC), qui fait partie du siège du gouvernement britannique des communications (Government Communications Headquarters, GCHQ), une organisation de renseignement et de sécurité, a également publié des directives urgentes pour que les entreprises britanniques examinent et renforcent leurs protocoles d’assistance.
Aux États-Unis, divers ISAC du secteur ont émis des conseils utiles de la même manière. Weiss, qui a contribué à la construction du Centre de cyberintelligence de Citigroup, déclare que le modèle de partage des menaces du secteur financier pourrait servir de modèle pour les secteurs de la vente au détail et de la santé.
« Nous avions des informations sur les menaces intégrées dans tout, de la planification stratégique aux opérations en temps réel », déclare-t-il. « Ce niveau d’intégration vous aide à garder une longueur d’avance sur ce qui va se passer. »
Bien que la biométrie puisse devenir un appareil de vérification, Weiss note que la technologie peut jouer un rôle. « Il existe une technologie de reconnaissance vocale et de vérification comportementale qui peut signaler les anomalies en temps réel », déclare-t-il. « Des solutions comme Clear explorent des vérifications actives de la preuve de vie pour confirmer l’identité. Cela pourrait faire partie de la réponse. »
[Lire également : un nouveau modèle décentralisé de cyberdéfense gagne du terrain dans l’UE]
Mais lui et Büyükkaya s’accordent sur la défense la plus importante : la préparation.
« Ne vous entraînez pas une seule fois et ne passez pas à autre chose », déclare Büyükkaya. « Exécuter des analyses. Exiger des phrases secrètes. Et indiquez clairement que toute demande urgente est un signal d’alarme, et non une excuse pour ignorer le protocole. »
Dans le paysage actuel des menaces, votre plus grande vulnérabilité pourrait être un employé bien intentionné qui essaie simplement d’aider.
« Nous disons aux entreprises tout le temps », déclare Weiss, « Si vous ne testez pas votre service d’assistance et ne mettez pas à jour vos playbooks de manière proactive, vous êtes déjà en retard. »
