Données de Mayer Brown divulguées par une escroquerie d’usurpation d’identité du groupe Luna Moth

Que s’est-il passé dans la fuite de données de Mayer Brown

Le cabinet d’avocats Mayer Brown a confirmé que des documents internes ont été publiés sur un site de fuite géré par le groupe d’extorsion Luna Moth, mais le cabinet affirme que ses systèmes n’ont jamais été réellement compromis. Selon Mayer Brown, un employé a envoyé par erreur les documents à un tiers qui avait usurpé son identité. En d’autres termes, il ne s’agissait pas d’un piratage au sens traditionnel, avec exploitation de logiciels ou vol d’identifiants. C’était une tromperie ciblée qui a convaincu un membre du personnel de remettre volontairement des fichiers sensibles.

Luna Moth a ensuite récupéré ces documents et les a publiés sur son site de fuite d’extorsion, une tactique que le groupe utilise couramment pour faire pression sur les victimes et les inciter à payer plutôt que de voir leurs données rendues publiques. La déclaration de Mayer Brown selon laquelle ses systèmes n’ont pas été consultés est significative. Elle établit une distinction claire entre une intrusion dans le réseau – qui déclenche généralement une réponse technique bien plus vaste – et un incident d’ingénierie sociale ciblé qui a exploité la confiance humaine plutôt qu’une faille technique.

Comment la tactique d’usurpation de Luna Moth a contourné les défenses techniques

Luna Moth, également suivi sous les noms de Silent Ransom Group, Chatty Spider et UNC3753, s’est forgé une réputation en ciblant spécifiquement les cabinets d’avocats, notamment parce que les documents juridiques sont souvent sensibles, confidentiels et constituent un levier précieux pour l’extorsion. Plutôt que de déployer des maliciels ou des rançongiciels pour forcer l’entrée dans un réseau, le groupe mise de plus en plus sur une usurpation convaincante : se faire passer pour un fournisseur de confiance, un contact du support informatique ou une autre partie légitime afin d’inciter un employé à envoyer volontairement des fichiers ou à accorder un accès.

Cette approche est efficace justement parce qu’elle contourne les défenses dans lesquelles les organisations investissent le plus d’argent. Les pare-feu, la détection des terminaux et les outils de surveillance réseau sont conçus pour détecter les tentatives d’accès non autorisées. Ils sont bien moins utiles lorsqu’un employé légitime, agissant de bonne foi, envoie des documents à une personne qu’il croit autorisée à les recevoir. L’incident Mayer Brown correspond à ce schéma : la fuite n’a pas exigé que Luna Moth franchisse un périmètre, car le périmètre n’a jamais été la cible. L’employé l’était.

Pourquoi l’ingénierie sociale reste le maillon faible

Même les organisations bien dotées en ressources et dotées de programmes de cybersécurité matures restent vulnérables à ce type d’attaque, car celle-ci cible le jugement plutôt que l’infrastructure. Un cabinet peut investir massivement dans le chiffrement, les contrôles d’accès et la détection d’intrusion, et être quand même exposé si quelqu’un usurpe de manière convaincante l’identité d’un contact connu, d’un client ou d’un collègue interne. Il ne s’agit pas tellement d’une défaillance technologique que d’une démonstration que des attaquants déterminés chercheront toujours le chemin de moindre résistance, et ce chemin passe de plus en plus par les personnes plutôt que par le code.

La campagne plus large de Luna Moth contre les cabinets d’avocats souligne ce fait. Des groupes comme celui-ci prospèrent grâce à une échelle opérationnelle, et ce qui les rend durables est en partie l’infrastructure qui soutient leur activité en coulisses, y compris les services d’hébergement qui permettent aux sites de fuite et aux opérations d’extorsion de rester en ligne. Les forces de l’ordre ont également pris conscience de cette couche d’infrastructure. La saisie de 800 serveurs liés à une opération d’hébergement blindé par les autorités néerlandaises illustre à quel point perturber les fournisseurs d’hébergement qui abritent les groupes d’extorsion peut être tout aussi important que d’améliorer la vigilance individuelle des employés. Il faut agir sur les deux fronts – application technique de la loi et vigilance humaine – si l’on veut que des incidents comme la fuite de Mayer Brown deviennent moins fréquents.

Ce que cela signifie pour vous

Si vous travaillez dans un cabinet d’avocats, une société de services financiers ou toute organisation qui manipule des documents clients sensibles, cet incident vous rappelle que votre plus grand risque n’est peut-être pas du tout un outil de piratage sophistiqué. Cela pourrait être un e-mail ou un appel téléphonique bien conçu qui semble parfaitement légitime. Des attaquants qui étudient un employé précis, une relation fournisseur ou une affaire en cours peuvent personnaliser leur usurpation de manière suffisamment convaincante pour tromper même des collaborateurs attentifs.

Pour les clients et les particuliers dont les informations transitent par des cabinets d’avocats ou des prestataires de services professionnels, il est bon de comprendre qu’une « fuite » ne signifie pas toujours que les serveurs d’une entreprise ont été compromis. Parfois, cela signifie qu’une seule tromperie ciblée a réussi. Cette distinction est importante pour la manière dont les organisations réagissent, et pour la confiance que le public doit accorder aux assurances génériques du type « les systèmes sont sécurisés ».

Points d’action à retenir

• Vérifiez l’identité par un second canal avant d’envoyer des documents sensibles, surtout si la demande paraît urgente ou inhabituelle.
• Formez le personnel à reconnaître les tactiques d’usurpation spécifiquement, et pas seulement les courriels d’hameçonnage aux signaux d’alerte évidents.
• Établissez des procédures internes claires pour vérifier les demandes de fournisseurs, de l’IT et de clients impliquant des transferts de documents.
• Comprenez qu’une fuite de données sans violation de réseau entraîne quand même des conséquences réelles et exige une réponse sérieuse.

L’incident Mayer Brown montre que les tactiques de fuite de données par ingénierie sociale de Luna Moth n’ont pas besoin de franchir des pare-feu pour réussir, il suffit qu’une seule personne croie un mensonge convaincant. Alors que les cabinets d’avocats et autres cibles de grande valeur continuent de subir ce type de pression, combler le facteur humain est tout aussi urgent que de renforcer le réseau.