Que s'est-il passé lors de la violation de Jack Henry

Jack Henry, une entreprise de technologie financière dont les systèmes soutiennent des banques et des coopératives de crédit, a récemment confirmé un incident de ransomware qui n'a pas commencé par une exploitation technique, mais par un appel téléphonique. Selon les informations disponibles, les attaquants ont utilisé le phishing vocal, également connu sous le nom de vishing, pour manipuler un employé afin qu'il accorde un accès ayant finalement permis l'extraction d'une quantité limitée de données. L'entreprise a depuis lancé son processus de réponse aux incidents, bien que les détails complets sur l'étendue de la violation et les données spécifiques concernées restent limités dans les informations publiques.

Ce qui rend cet incident remarquable, ce n'est pas la charge utile du ransomware en elle-même. C'est le point d'entrée. Plutôt que d'exploiter une vulnérabilité logicielle ou de forcer un identifiant par brute force, les attaquants auraient directement visé le maillon le plus faible de la plupart des architectures de sécurité : une personne qui répond au téléphone.

Comment le phishing vocal a contourné les contrôles de sécurité des employés

Le phishing vocal fonctionne en se faisant passer pour une source de confiance, souvent un service d'assistance informatique, un fournisseur ou un service interne, et en faisant pression sur un employé pour qu'il effectue une action qu'il n'effectuerait pas normalement. Cela peut signifier réinitialiser un mot de passe, approuver une invite de connexion ou partager un code à usage unique. Dans le cas de Jack Henry, l'utilisation signalée du phishing vocal pour cibler la « confiance des employés » suggère que les attaquants se sont appuyés sur une ingénierie sociale convaincante plutôt que sur une faille quelconque dans les défenses réseau de l'entreprise.

Cette tactique est devenue de plus en plus courante car elle contourne les contrôles techniques sur lesquels les organisations dépensent le plus d'argent. Un pare-feu ne peut pas arrêter un appel téléphonique. Un système de détection d'intrusion ne signale pas une conversation. Lorsqu'un attaquant semble crédible, urgent et familier avec les processus internes, même des employés formés peuvent être amenés à contourner les étapes qu'ils suivraient autrement.

Les mécanismes sous-jacents sont similaires à d'autres méthodes d'ingénierie sociale qui ont tourmenté les secteurs des télécommunications et de la finance, comme l'échange de carte SIM, où des attaquants convainquent un opérateur mobile de transférer le numéro de téléphone d'une victime vers un appareil qu'ils contrôlent. Dans les deux cas, l'attaquant ne casse pas le chiffrement ni n'exploite du code. Il exploite un processus de prise de décision humaine, en utilisant l'assurance et la pression sociale pour faire faire le travail à quelqu'un d'autre.

Pourquoi les MFA et les VPN n'arrêtent pas l'ingénierie sociale

Il faut être direct à ce sujet : l'authentification multifactorielle et les VPN sont des outils de sécurité essentiels, mais ils n'ont jamais été conçus pour arrêter un ingénieur social déterminé qui convainc quelqu'un d'approuver un accès volontairement. La MFA vérifie qu'une demande provient d'un appareil ou d'un identifiant légitime. Elle ne fait rien pour vérifier que la personne qui approuve une notification push comprend réellement ce qu'elle approuve, surtout si un appelant vient de lui dire qu'il s'agit d'une vérification informatique de routine.

De même, un VPN chiffre le trafic et peut restreindre l'accès réseau aux utilisateurs autorisés, mais il ne peut pas faire la distinction entre un employé autorisé et un employé autorisé qui vient d'être manipulé pour remettre ses identifiants. Une fois qu'un attaquant dispose d'un accès valide, que ce soit par un mot de passe volé, une invite MFA approuvée ou un numéro de téléphone redirigé, le VPN le traite comme légitime.

C'est la leçon essentielle de l'incident de Jack Henry : les défenses techniques en couches comptent, mais elles ne peuvent pas entièrement compenser une lacune dans la façon dont les employés sont formés à vérifier les demandes inattendues, en particulier celles qui arrivent par téléphone et créent un sentiment d'urgence.

Leçons pour les consommateurs et les institutions financières sur la défense de la couche humaine

Pour les institutions financières et toute organisation manipulant des données sensibles, l'enseignement n'est pas d'abandonner la MFA ou l'utilisation des VPN. C'est de traiter la couche humaine comme un domaine de sécurité à part entière qui nécessite une attention continue. Cela inclut la formation du personnel à vérifier de manière indépendante les appelants via un canal séparé et connu avant d'agir sur toute demande impliquant des identifiants, des changements d'accès ou des données sensibles. Cela signifie également mettre en place des processus internes qui ne reposent pas uniquement sur le jugement de l'employé sur le moment, comme exiger une approbation secondaire pour les changements de comptes à haut risque.

Pour les consommateurs, le même principe s'applique à plus petite échelle. Méfiez-vous des appels inattendus prétendant provenir de votre banque, de votre opérateur mobile ou de tout fournisseur de services, surtout s'ils vous demandent de lire un code de vérification ou d'approuver une connexion. Les organisations légitimes ont rarement besoin que vous fassiez cela par téléphone.

Ce que cela signifie pour vous

Si vous êtes un client d'une banque ou d'une coopérative de crédit qui s'appuie sur la technologie de Jack Henry, rien dans les informations actuelles n'indique que les identifiants de comptes individuels aient été compromis, mais c'est un moment raisonnable pour revoir la sécurité de vos propres comptes. Si vous travaillez dans une organisation de toute taille, cet incident est une étude de cas utile pour comprendre pourquoi la formation à la sensibilisation à la sécurité doit spécifiquement aborder l'ingénierie sociale vocale, pas seulement le phishing par e-mail.

Points clés à retenir

  • Vérifiez les demandes téléphoniques inattendues via un canal de contact séparé et connu avant d'agir.
  • Ne partagez jamais de mots de passe à usage unique et n'approuvez pas d'invites MFA pour des connexions que vous n'avez pas initiées.
  • Encouragez des politiques organisationnelles exigeant une vérification secondaire pour les changements sensibles de comptes ou d'accès.
  • Renseignez-vous sur les tactiques d'ingénierie sociale connexes comme l'échange de carte SIM pour comprendre comment les attaquants contournent l'authentification sans casser le chiffrement.

L'attaque par ransomware contre Jack Henry rappelle qu'une attaque par ransomware via phishing vocal n'a pas besoin de vaincre vos logiciels de sécurité. Elle a juste besoin de convaincre une personne de faire confiance à la mauvaise voix à l'autre bout du fil.