Le piratage de 780 gigaoctets de code source de jeux vidéo chez le géant du jeu vidéo Electronic Arts (EA) a commencé, de manière assez anodine, sur Slack. Selon des pirates informatiques interrogés par Motherboard, ce qu'EA aurait confirmé, un groupe de pirates aurait acheté des cookies volés contenant des identifiants de connexion au prix de 10 dollars pièce et les aurait utilisés pour s'introduire dans les canaux Slack de l'entreprise.
Une fois à l'intérieur, les pirates se sont fait passer pour un employé d'EA — une stratégie de plus en plus courante chez les cybercriminels — et ont envoyé un message au service informatique pour lui indiquer qu'ils avaient perdu leur téléphone lors d'une soirée et qu'ils ne pouvaient pas saisir les informations requises pour l'authentification multifactorielle afin de se connecter au réseau de l'entreprise. Un administrateur informatique s'est laissé piéger, a accordé l'accès, et les pirates ont ainsi pu accéder aux répertoires de fichiers des développeurs. De là, ils se sont emparés de précieux codes sources et outils liés aux jeux vidéo — les joyaux de la couronne du royaume d’une société de jeux vidéo.
À présent, tout le monde connaît les failles de sécurité d'une autre plateforme de collaboration très populaire, Zoom. En avril, Zoom a accepté de verser 85 millions de dollars à aux plaignants qui avaient été victimes de « Zoombombers » racistes, sexistes et, d’une manière générale, grossiers. Ces malfaiteurs ont, à plusieurs reprises, harcelé des enfants suivant un enseignement à domicile dans le cadre de l’« école Zoom » pendant la pandémie, des fidèles participant à un cours d’étude biblique en ligne , ainsi que des Américains d’origine asiatique qui se réunissaient virtuellement pour lutter contre la violence et la discrimination.
Ce type de harcèlement est devenu si répandu que le « zoombombing » constitue désormais une infraction fédérale . Mais ce n'est pas le seul problème de cybersécurité qui devrait préoccuper les utilisateurs des plateformes de collaboration les plus courantes. Selon le FBI, des pirates informatiques utilisent des vidéos de type « deepfake » et d’autres moyens pour se faire passer pour des dirigeants d’entreprise via des outils de collaboration, dans le but de dérober des fonds et des données d’entreprise.
En effet, malgré des progrès considérables en matière de sécurité pendant la pandémie, des failles continuent d'apparaître, qui pourraient permettre à des pirates informatiques de compromettre secrètement des terminaux et de lancer des attaques « zero-day » potentiellement dévastatrices. L'année dernière, par exemple, Google Project Zero a identifié deux failles affectant les clients Zoom et les serveurs MMR (Multimedia Router) qui auraient pu permettre à des pirates informatiques d'accéder clandestinement à des ordinateurs ainsi qu'à d'autres plateformes et appareils sans que l'utilisateur n'ait à cliquer sur un seul lien de hameçonnage. Plusieurs vulnérabilités auraient également été découvertes dans Microsoft Teams, Cisco Webex et Slack.
Comment Slack, Zoom, Teams et d'autres applications de collaboration inspirent le « video hacking »
Les vulnérabilités touchent, dans une certaine mesure, toutes les plateformes de communication et de collaboration virtuelles. Et ces outils sont en passe de devenir l'un des prochains grands terrains de prédilection de la cybercriminalité.
«En 2022, les employés utilisant des outils de collaboration depuis plusieurs sites se retrouveront assiégés. »Oliver Cronk, architecte informatique en chef pour la région EMEA chez Tanium
« Les pirates informatiques continueront à rechercher des failles liées au nouveau modèle de travail hybride — et nous prévoyons que, d’ici 2022 , les employés utilisant des outils de collaboration depuis plusieurs sites se retrouveront pris pour cible », a prédit Oliver Cronk, architecte informatique en chef pour la région EMEA chez Tanium, dans un article récent publié sur .
Les motivations qui poussent à cibler ces outils varient, mais celles-ci présentent des similitudes avec les attaques visant les terminaux. Dans de nombreux cas, les cybercriminels, les États ou les espions d'entreprise utilisent les outils de collaboration comme des voies d'accès privilégiées pour consulter, voire voler, des données d'entreprise, personnelles et financières. Dans d'autres cas, ces outils constituent un autre moyen de lancer des attaques par ransomware. Des chercheurs ont également découvert des preuves de leur utilisation par des cryptojackers afin de détourner de la puissance de calcul dans le but de générer des bitcoins et d'autres monnaies numériques.
Les outils de collaboration offrent de nombreuses possibilités d'accès
Les méthodes utilisées par les pirates informatiques pour exploiter les outils de collaboration semblent souvent simples à première vue, même si elles sont sophistiquées en coulisses. Dans la plupart des cas, l'objectif est de dissimuler un logiciel malveillant dans du code HTML, JavaScript ou du code de navigateur afin de compromettre un terminal et de dérober les identifiants des utilisateurs. À partir de là, les pirates informatiques peuvent se déplacer latéralement au sein des réseaux pour voler des données et lancer d'autres attaques.
Il s'avère qu'il n'est pas si difficile de diffuser du code malveillant à l'aide d'outils de collaboration. Selon la société de cybersécurité Cyble, les pirates informatiques peuvent facilement se procurer des identifiants Zoom pour seulement 0,002 dollars pièce. Cyble aurait d'ailleurs acheté un demi-million de ces identifiants simplement pour vérifier s'ils étaient authentiques. Les pirates ont probablement dérobé des noms d'utilisateur, des mots de passe, des adresses e-mail enregistrées, des clés d'hôte et des URL de réunions personnelles en recourant au « credential stuffing », une technique consistant pour les cybercriminels à acheter des identifiants et des mots de passe sur le dark web, puis à utiliser des bots pour les tester un par un sur une page de connexion jusqu'à ce que l'un d'entre eux fonctionne.
Sans surprise, les identifiants piratés constituent le moyen le plus courant de cyberattaque : ils représentent 20 % des violations de données, avec un coût moyen de 4,37 millions de dollars, selon le rapport d’IBM intitulé « Le coût d’une violation de données » 2021.
« En raison du télétravail, ces outils constituent désormais un vecteur d’attaque plus facile à exploiter que les e-mails », explique Chuck Everette, directeur chargé de la sensibilisation à la cybersécurité chez Deep Instinct, une entreprise spécialisée dans les logiciels de cybersécurité basés sur l’intelligence artificielle. « Environ 80 % des attaques que nous avons constatées consistaient à se faire passer pour quelqu’un d’autre sur Teams ou Slack, ce qui est très facile à faire. »
La sécurité des logiciels de collaboration commence par un peu de prévention
Selon les experts, il est impossible de mettre fin aux attaques visant les outils de collaboration, tout comme c'est le cas pour n'importe quel appareil connecté. Cependant, en faisant preuve de bon sens, vous pouvez limiter leur fréquence et leur gravité.
Zac Warren, directeur principal de la cybersécurité pour la région EMEA chez Tanium, affirme que les mesures les plus importantes qu’une organisation puisse prendre consistent à recourir à l’authentification multifactorielle — une pratique que les compagnies d’assurance cyber exigent de plus en plus de leurs clients — ainsi qu’à utiliser du matériel et des logiciels à la pointe de la technologie et régulièrement mis à jour.
«En raison du télétravail, ces outils constituent désormais un vecteur d’attaque plus facile que les e-mails. »Chuck Everette, directeur du plaidoyer en matière de cybersécurité chez Deep Instinct
L'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté
, , l'authentification à usage uniqueet à sa liste des « mauvaises pratiques » disponible à l'adresse août 2021. Selon M. Warren, les entreprises qui se contentent d'utiliser des mots de passe au lieu d'une authentification multifactorielle courent un risque bien plus élevé de voir leurs outils de collaboration compromis.
Et les « ordinateurs portables non mis à jour, obsolètes ou « malades » », ajoute-t-il, comptent parmi les cibles les plus prisées des pirates informatiques. Si une entreprise utilise des versions obsolètes de ces outils de collaboration, elle passe à côté des dernières améliorations essentielles en matière de sécurité. Une gestion efficace des correctifs est essentielle, notamment compte tenu de la vague récente d'attaques par ransomware et d'attaques menées par des États, qui ont ciblé des vulnérabilités connues.
Les organisations doivent également accorder une attention particulière aux politiques de cybersécurité par défaut des outils de visioconférence et de collaboration qu'elles ont choisis. Ils sont souvent, dès leur sortie d'usine, entièrement open source et moins sécurisés.
Warren recommande également d'adopter une approche « zéro confiance » ( ) en matière de gestion des identités et des accès, selon laquelle les utilisateurs ne sont pas automatiquement considérés comme dignes de confiance simplement parce qu'ils ont réussi à accéder au réseau de l'entreprise. Il affirme que les organisations devraient configurer leurs systèmes de visioconférence et de collaboration de manière à « établir une distinction claire entre les intervenants internes et externes », afin que les membres de l'organisation sachent ce qui provient de l'extérieur et que les intervenants externes ne puissent pas se déplacer latéralement au sein de l'organisation.
[À lire également : L'avenir se fera sans mot de passe]
Everette, de Deep Instinct, exhorte également les organisations à mieux former leurs collaborateurs sur les éléments auxquels ils doivent prêter attention lors des vidéoconférences et dans les espaces de collaboration virtuels. Il fait remarquer que, bien souvent, les personnes qui restent vigilantes face aux tentatives d'hameçonnage par e-mail baissent leur garde sur Teams, Slack, Zoom ou Webex, car elles pensent être en sécurité.
En réalité, fait-il remarquer, les tentatives d'hameçonnage sont tout aussi fréquentes au sein des outils de collaboration que sur n'importe quel autre support numérique, même si elles peuvent parfois présenter quelques différences. Dans certains cas, des pirates parviennent à injecter des logiciels malveillants via des images GIF lors de discussions vidéo. Il suffit aux utilisateurs de consulter l'image pour que leurs identifiants soient divulgués sur le web.
« Les gens ne s’attendent pas à être confrontés à des attaques de hameçonnage lors de vidéoconférences, car ils n’ont pas été formés à repérer les signes avant-coureurs », explique Everette. « L'erreur humaine est la principale faiblesse de tous les dispositifs de sécurité, et les auteurs de menaces sont prêts et capables d'exploiter toutes les erreurs que les gens pourraient commettre. »
