Malgré l'annonce étrange (et suspecte) publiée la semaine dernière sur par 14 cybergangs, qui affirmaient avoir « décidé de se faire discrets » , les experts signalent la poursuite d'activités cybercriminelles liées à l'un des groupes les plus notoires de ce réseau et invitent les agents des services d'assistance à rester vigilants. Ces groupes ont réinventé et transformé d'anciennes tactiques qui tirent parti de la bonté humaine.
Le groupe « Scattered Spider », un collectif de cybercriminels composé de jeunes hackers réputé pour son chaos créatif, est à la tête de cette offensive et cible les services d'assistance aux États-Unis et au Royaume-Uni depuis au moins le printemps. Loin de se retirer, le groupe semble au contraire prendre son envol, après avoir mis au point une nouvelle forme de piratage qui exploite toute une gamme de technologies de pointe pour faire passer l’ l’ingénierie sociale à un niveau supérieur.
Cette année, tout a commencé par un coup de fil chez le géant britannique de la grande distribution Marks & Spencer, puis chez Co-op Group, et enfin chez Harrods. La campagne de pression menée contre les commerçants a fait la une de la presse britannique pendant des semaines. Ils se sont ensuite attaqués aux compagnies d'assurance américaines.
Plutôt que de recourir à des attaques de type « zero day » ransomware ou , ces pirates se sont fait passer pour des employés, ont inventé des histoires crédibles et ont convaincu le personnel du service d'assistance informatique de réinitialiser les mots de passe et de désactiver l'authentification multifactorielle (MFA). Cela a donné aux pirates les clés du royaume. De plus, dans certains cas, les intrus ne se sont pas contentés de chiffrer les systèmes ; ils ont discrètement exfiltré des données, déclenchant ainsi une nouvelle vague de menaces d'extorsion pure et simple qui ne nécessitaient aucun logiciel malveillant.
Cette technique perfectionnée connaît un succès croissant. Dans de nombreux cas de ce type, les pirates renforcent le réalisme de leurs manœuvres frauduleuses en utilisant des outils audio « deepfake » pour se faire passer pour des dirigeants ou des membres du personnel informatique, y compris les agents du service d'assistance eux-mêmes. Au final, les véritables agents du service d'assistance se retrouvent à devoir jongler entre des appels urgents, de fausses identités et des appels à l'aide lancés dans la panique par des personnes qui semblent être — mais ne le sont peut-être pas — de véritables collègues.
« C'est comme une attaque classique d'ingénierie sociale de type “ ” », à la différence près qu'elle utilise des technologies modernes pour être menée à bien, explique Errol Weiss, responsable de la sécurité informatique (CSO) chez Health-ISAC (Centre de partage et d'analyse de l'information). « Les pirates racontent une histoire convaincante — par exemple, quelqu’un aurait perdu son téléphone et aurait besoin de réinitialiser son authentification à plusieurs facteurs — et le service d’assistance, dans un souci de serviabilité, finit par leur donner accès au système. »
Bienvenue dans l'enfer du service d'assistance.
Les rumeurs concernant leur départ à la retraite ont été grandement exagérées
Depuis sa création en 2022, Scattered Spider, un collectif principalement anglophone composé de jeunes hommes et d'adolescents originaires des États-Unis et du Royaume-Uni, s'est rapidement fait connaître, passant des escroqueries par échange de carte SIM à des attaques de rançongiciel et d'extorsion de haute précision. Auparavant, des groupes de ce type auraient pu recourir à des techniques telles que l' u le phishing pour inciter des employés peu méfiants à commettre des actes imprudents, comme cliquer sur des liens qui lancent des logiciels malveillants. Aujourd’hui, ils ont recours à des combinaisons d’ , de vishing (hameçonnage vocal), de smishing (contraction de « SMS » et de « phishing ») et d’outils d’IA pour escroquer les employés en contact direct avec la clientèle.
«Les pirates racontent une histoire convaincante — par exemple, quelqu’un aurait perdu son téléphone et aurait besoin de réinitialiser son authentification à plusieurs facteurs — et le service d’assistance, dans un souci de serviabilité, finit par leur donner accès au système.” »Errol Weiss, directeur de la sécurité (CSO) chez Health-ISAC (Centre de partage et d'analyse de l'information)
Cette stratégie fonctionne. L'année dernière, le groupe « Scattered Spider » a été à lui seul à l'origine d'au moins six campagnes de vishing de grande envergure, ciblant des employés des secteurs du commerce de détail, de l'assurance et de l'aviation. Les méthodes de ce groupe sont agressives et en constante évolution.
Le point de départ est tout à fait banal. Les conséquences peuvent être considérables. L'attaque de type « » contre Marks & Spencer, par exemple, coûtera au détaillant environ 400 millions de dollars. Environ 6,5 millions de personnes ont vu leurs données volées lors de la cyberattaque contre Co-op. De plus, Harrods n'a pas pu traiter les commandes en ligne de vêtements et d' s pour la maison pendant une semaine. Elle n'a pas communiqué d'informations sur l'impact financier. (L'Agence nationale contre la criminalité du Royaume-Uni a annoncé l'arrestation de quatre auteurs présumés de cette série de cyberattaques : une femme de 20 ans et trois adolescents de sexe masculin, âgés de 17 à 19—in juillet.)
[À lire également : Qu'est-ce que la gestion des identités et des accès ?]
Une fois à l'intérieur, les pirates installent soit un rançongiciel, soit détournent discrètement des données sensibles. C’est de plus en plus souvent cette dernière option. Le chantage sans chiffrement, dans lequel les pirates volent des données puis exigent un paiement pour ne pas les divulguer, est plus rapide, plus discret et plus rentable. Selon Dragos, une société de cybersécurité spécialisée dans les attaques visant les infrastructures, rapporte que ce modèle de « pure extorsion de données » gagne rapidement du terrain, notamment en Europe.
Attaques visant les services d'assistance : quel secteur sera le prochain ?
Les entreprises de vente au détail et les assureurs ont été des cibles de prédilection cette année. Mais « Scattered Spider » suit un schéma bien précis : frapper fort dans un secteur, puis passer à autre chose.
On considère généralement qu’il est à l’origine des 2023 cyberattaques visant MGM Resorts International et Caesars Entertainment, au cours desquelles des techniques de « vishing » ont été utilisées pour accéder aux systèmes des entreprises et y déployer des ransomwares. Les autorités soupçonnent ce groupe d'être à l'origine d'une série de cyberattaques perpétrées cet été contre des compagnies aériennes. Ce groupe fait partie des trois organisations qui, selon , ont revendiqué la responsabilité de la cyberattaque dévastatrice perpétrée ce mois-ci contre Jaguar Land Rover, laquelle a entraîné des arrêts de production à l'échelle mondiale et des pertes estimées à plusieurs centaines de millions de dollars. Par ailleurs, un rapport récent d' , intitulé « » et publié par ReliaQuest, un organisme spécialisé dans l'analyse des menaces , suggère que les services financiers et le secteur technologique pourraient bien être les prochaines cibles.
« Certains secteurs sont plus exposés », explique Arda Büyükkaya, analyste senior en renseignements sur les cybermenaces chez EclecticIQ. « Le commerce de détail, l’ , le secteur de la santé et d’autres secteurs similaires sont particulièrement vulnérables, car ils se caractérisent souvent par d’importants services d’assistance, des environnements de travail au rythme soutenu et des processus de vérification d’identité souples que les pirates peuvent exploiter plus facilement. »
Méthodologie moderne : voici comment fonctionnent les attaques visant les services d'assistance
Les cybercriminels exploitent LinkedIn, les réseaux sociaux et les bases de données issues de fuites (contenant des identifiants, des mots de passe et d'autres informations personnelles volées) pour établir des profils détaillés des employés. Ils passent ensuite un appel de « vishing » à un service d'assistance, en se faisant souvent passer pour un cadre en déplacement qui n'a plus accès à son téléphone ni à sa messagerie électronique. Ils utilisent juste ce qu'il faut de jargon d'initiés et d'empressement pour paraître crédibles. Certains vont même jusqu’à usurper les véritables numéros de téléphone de l’entreprise ou à enregistrer des noms de domaine destinés à l’hameçonnage, tels que « vpn-votreentreprise-helpdesk.com ».
«Les services d'assistance constituent des cibles attrayantes et vulnérables, car leur personnel est formé pour résoudre rapidement les problèmes.” »Arda Büyükkaya, analyste senior en renseignements sur les cybermenaces, EclecticIQ
« Les services d'assistance constituent des cibles attrayantes et vulnérables, car leur personnel est formé pour résoudre rapidement les problèmes ; les attaquants exploitent cette situation en créant des scénarios urgents et chargés d'émotion afin de les pousser à contourner les protocoles de sécurité », explique M. Büyükkaya. « De plus, les services d'assistance ont souvent accès à des fonctions nécessitant des privilèges élevés, telles que la réinitialisation des mots de passe et l'authentification multifactorielle, ce qui en fait des points de contrôle essentiels. »
Cet accès n'est pas toujours utilisé à des fins de perturbation. On l'utilise de plus en plus à des fins de furtivité.
« Le vishing facilite l'extorsion pure et simple en permettant aux attaquants d'accéder discrètement aux systèmes sans recourir à des logiciels malveillants ni au chiffrement », explique M. Büyükkaya. « Au lieu de cela, ils dérobent des données sensibles , puis menacent de les divulguer si une rançon n’est pas versée. » « Cette méthode présente peu de risques pour les pirates, est rapide à mettre en œuvre et passe souvent inaperçue jusqu’à ce que la demande de rançon soit formulée. »
Élaborer un plan d'intervention face aux attaques visant le service d'assistance
Alors, que peuvent faire les entreprises pour y remédier ?
« [Donnez aux employés les moyens de remettre en question tout ce qu’ils souhaitent] s’ils ont vraiment le sentiment que quelque chose cloche, qu’un appel n’est pas légitime ou qu’il n’a pas de sens.” »Christopher Hadnagy, PDG de Social-Engineer
« Les équipes de sécurité peuvent prendre des mesures immédiates, telles que rappeler systématiquement les personnes concernées en utilisant des numéros de contact fiables, mettre en place des processus de vérification en plusieurs étapes au lieu de se fier uniquement aux appels téléphoniques, et exiger des phrases de passe secrètes pour les actions nécessitant des privilèges élevés, comme la réinitialisation des mots de passe », explique M. Büyükkaya. « Ils devraient également vérifier l'identité des utilisateurs à l'aide d'une webcam ou exiger une vérification en personne pour les opérations sensibles. » « La formation régulière du personnel du service d'assistance, notamment par le biais de simulations d'ingénierie sociale, ainsi que l'application de règles claires visant à bloquer les demandes urgentes ou à haut risque constituent également des mesures essentielles. »
« L'une des mesures de protection les plus efficaces consiste à former les collaborateurs du service d'assistance aux signes à surveiller », a déclaré Christopher Hadnagy, PDG de Social-Engineer, une société de conseil et de formation en sécurité, lors d'un récent webinaire organisé par l' , disponible à l'adresse suivante :. Les anciennes règles empiriques, telles que faire confiance aux voix que vous connaissez et vous méfier des voix inconnues ou de celles qui ont un accent, ne s'appliquent plus. La technologie moderne du « deepfake » permet de générer des enregistrements très convaincants, et des outils basés sur l'IA, tels que FraudGPT, peuvent même faire en sorte que n'importe quel accent sonne comme celui d'un habitant local, a-t-il déclaré.
M. Büyükkaya précise qu’une partie de cette formation devrait consister à sensibiliser les employés aux signaux d’alerte, tels que les demandes urgentes qui poussent le personnel à sauter des étapes de vérification, les appelants qui semblent avoir une connaissance approfondie des systèmes internes, les demandes de réinitialisation de mot de passe ou d’authentification multifactorielle (MFA) sans justificatif à l’appui, les appels provenant de numéros inconnus ou usurpés, ainsi que les demandes formulées à des heures inhabituelles ou depuis des lieux inhabituels.
Une autre astuce pour le service d'assistance : faire preuve de méfiance
La formation devrait également viser à favoriser l'autonomie.
Les collaborateurs du service d'assistance doivent savoir que « s'ils ont vraiment le sentiment que quelque chose cloche, qu'un appel n'est pas légitime ou qu'il n'a pas de sens », ils peuvent le remettre en question, y mettre fin et le signaler sans craindre de représailles — même s'il s'agit de leur supérieur hiérarchique ou du PDG, a déclaré M. Hadnagy lors du webinaire.
Hadnagy pointed to a 2024 example in which a Ferrari executive received messages and even a deepfaked phone call from someone posing as CEO Benedetto Vigna. Méfiante, la dirigeante a demandé à son interlocuteur de lui rappeler le titre d'un livre que Vigna lui avait récemment recommandé. Comme l'imposteur n'a pas su répondre, la tentative a rapidement échoué.
« Cette seule question a évité à Ferrari une faille de sécurité majeure », a déclaré M. Hadnagy. « Et pourquoi donc ? » En effet, ce cadre ne craignait pas que, s'il avait réellement remis en question le véritable PDG, il aurait été réprimandé, critiqué ou humilié. « Il a pris conscience qu’il avait le pouvoir de remettre en question ce type au téléphone, et cela a permis d’empêcher la violation. »
Recommandations des pouvoirs publics et d'autres experts à l'intention des entreprises américaines et britanniques
Le Centre national de cybersécurité (NCSC), qui relève du Government Communications Headquarters (GCHQ) britannique, un organisme chargé du renseignement et de la sécurité, a également publié des recommandations d’urgence à l’intention des entreprises britanniques afin qu’elles réexaminent et renforcent leurs protocoles de service d’assistance.
Aux États-Unis, divers ISAC sectoriels ont publié des recommandations tout aussi utiles. M. Weiss, qui a contribué à la mise en place du Cyber Intelligence Center de Citigroup, estime que le modèle de partage des informations sur les menaces utilisé par le secteur financier pourrait servir de modèle aux secteurs du commerce de détail et de la santé.
« Nous avions intégré les renseignements sur les menaces à tous les niveaux, de la planification stratégique aux opérations en temps réel », explique-t-il. « Ce niveau d’intégration vous permet d’anticiper ce qui va se passer. »
Même si la biométrie semble perdre de son attrait en tant que moyen de vérification, M. Weiss souligne que cette technologie peut jouer un rôle. « Il existe des technologies de reconnaissance vocale et de vérification comportementale capables de signaler les anomalies en temps réel », explique-t-il. « Des solutions telles que Clear étudient la mise en place de vérifications actives de l’existence pour confirmer l’identité. » « Cela pourrait constituer une partie de la réponse. »
[À lire également : Un nouveau modèle décentralisé de cyberdéfense gagne du terrain au sein de l'UE]
Mais lui et Büyükkaya s'accordent sur l'élément le plus important en matière de défense : la préparation.
« Ne vous contentez pas de vous entraîner une seule fois, puis de passer à autre chose », déclare M. Büyükkaya. « Faites des exercices. » Exigez l'utilisation de phrases de passe secrètes. Et précisez clairement que toute demande urgente constitue un signal d'alerte, et non une excuse pour contourner le protocole. »
Dans le contexte actuel des menaces, votre plus grande vulnérabilité pourrait bien être un collaborateur bien intentionné qui cherche simplement à vous aider.
« Nous le répétons sans cesse aux entreprises », déclare M. Weiss, « si vous ne testez pas de manière proactive votre service d'assistance et ne mettez pas à jour vos guides d'intervention, vous avez déjà pris du retard. »
