Le phishing vocal trouve un nouveau point faible : votre téléphone personnel

Une nouvelle vague d'attaques montre pourquoi la frontière entre appareils personnels et professionnels compte plus que jamais. Selon des reportages sur les conclusions du renseignement sur les menaces de Microsoft, des groupes suivis sous les noms de Storm-3032 et Storm-3121 appellent et envoient des SMS aux employés sur leurs téléphones personnels, en se faisant passer pour du personnel interne du support informatique. Une fois qu'un employé est convaincu que l'appel est légitime, les attaquants le guident à travers des étapes qui accordent l'accès aux comptes Microsoft 365 de l'entreprise, en exploitant souvent les configurations bring-your-own-device (BYOD) où les téléphones personnels sont également utilisés pour se connecter aux e-mails professionnels, à Teams et à SharePoint.

Ce qui rend cette campagne notable n'est pas seulement la tactique de phishing vocal elle-même. C'est ce qui se passe après l'obtention de l'accès initial. Ces groupes fonctionneraient comme des courtiers en accès initial : ils pénètrent dans un réseau, utilisent l'API Graph de Microsoft pour examiner quelles données et quels systèmes sont disponibles, puis identifient quelles victimes sont suffisamment précieuses pour être vendues ou transmises. À partir de là, l'accès est transmis à des groupes d'extorsion, notamment ShinyHunters, un nom devenu de plus en plus familier dans les affaires de vol de données et d'extorsion.

Pourquoi le BYOD rend cette attaque si efficace

Les appareils personnels se situent en dehors du périmètre de sécurité que la plupart des entreprises construisent autour du matériel professionnel. Un ordinateur portable professionnel peut disposer de la détection des points de terminaison, de permissions d'applications restreintes et de configurations gérées par le service informatique. Un téléphone personnel utilisé pour consulter ses e-mails ou rejoindre un appel Teams n'en dispose généralement pas. C'est aussi l'appareil sur lequel les employés sont le plus susceptibles de répondre à un appel sans y réfléchir à deux fois, puisqu'il s'agit du même téléphone que celui utilisé par leur famille et leurs amis.

C'est exactement cette faille de confiance qu'exploite le phishing vocal (parfois appelé vishing). Les attaquants n'ont pas besoin de briser le chiffrement ni de trouver une faille logicielle. Ils ont besoin d'un employé qui croit que la personne au téléphone vient véritablement du service informatique et cherche à aider, et non à nuire. Les rapports indiquent que les attaquants abusent également de fonctionnalités de collaboration légitimes, telles que l'accès externe dans Microsoft Teams, pour se fondre dans la communication professionnelle normale plutôt que de déclencher des signaux d'alarme évidents.

Ce schéma fait écho à une tendance plus large dans de nombreux secteurs. Dans l'attaque par rançongiciel contre Jack Henry, les attaquants ont de la même manière utilisé un appel téléphonique plutôt qu'un exploit technique pour obtenir un point d'ancrage, soulignant que l'ingénierie sociale vocale est devenue un point d'entrée privilégié précisément parce qu'elle contourne les défenses techniques traditionnelles.

L'angle de l'API Graph : transformer l'accès en renseignement

Une fois à l'intérieur d'un compte, les attaquants utiliseraient l'API Graph de Microsoft, un outil légitime que les développeurs utilisent pour interagir avec les données Microsoft 365, afin de cartographier l'environnement d'une organisation. Cela leur permet d'identifier rapidement quelles boîtes aux lettres, quels fichiers ou quels comptes d'utilisateurs sont les plus précieux, effectuant ainsi de la reconnaissance en utilisant l'infrastructure même de la cible. Plutôt que d'exfiltrer eux-mêmes les données dans chaque cas, les courtiers en accès initial semblent transmettre les points d'ancrage à forte valeur à des groupes d'extorsion comme ShinyHunters, qui se spécialisent dans la monétisation de l'accès volé par le vol de données et les demandes d'extorsion.

Cette division du travail, un groupe s'introduisant et un autre groupe encaissant, reflète ce qui a été observé dans d'autres affaires de violation récentes. Dans la fuite de données de Napoleon Perdis, des dossiers clients volés ont été divulgués et revendiqués par un acteur de la menace opérant indépendamment de quiconque aurait pu accéder initialement aux données, illustrant comment l'accès compromis et les fuites de données publiques sont souvent gérés par des parties entièrement distinctes.

Ce que cela signifie pour vous

Si votre employeur autorise l'accès BYOD à Microsoft 365, Teams ou aux e-mails professionnels, vous êtes un point d'entrée potentiel pour ce type d'attaque, quel que soit votre intitulé de poste ou votre service. Le risque principal n'est pas une faille dans le logiciel de Microsoft. C'est la supposition qu'un appelant prétendant être le « support informatique » est bien celui qu'il prétend être. Les employés doivent se montrer sceptiques face à tout appel ou SMS non sollicité leur demandant de réinitialiser des identifiants, d'approuver une demande de connexion ou d'installer quoi que ce soit, même si l'appelant semble bien connaître les systèmes internes ou utilise de vrais noms d'employés.

Les organisations devraient également revoir la manière dont les appareils BYOD sont vérifiés et surveillés, car un téléphone personnel ayant accès aux services cloud de l'entreprise peut devenir un chemin direct vers des données sensibles sans jamais toucher un ordinateur portable appartenant à l'entreprise.

Points à retenir concrets

  • Vérifiez tout contact du support informatique via un canal interne connu avant d'agir, jamais via le numéro ou la méthode fournie par l'appelant.
  • Activez l'authentification multifacteur exigeant plus qu'une simple approbation d'un tap, car la fatigue liée à l'AMF et l'ingénierie sociale vont souvent de pair.
  • Renseignez-vous auprès de votre employeur sur les politiques de sécurité BYOD, notamment si les appareils personnels accédant à Microsoft 365 sont soumis à des règles d'accès conditionnel ou à des contrôles de conformité des appareils.
  • Signalez immédiatement les appels ou SMS suspects prétendant venir du service informatique, même si vous n'avez pas donné suite, afin que les équipes de sécurité puissent suivre la campagne dans son ensemble.

Les campagnes de phishing vocal comme celle-ci réussissent parce qu'elles ciblent la confiance humaine plutôt que les vulnérabilités logicielles. Rester prudent face aux appels inattendus et confirmer les demandes via des canaux officiels demeure l'une des défenses les plus simples et les plus efficaces disponibles.