Une nouvelle tournure pour un vieux truc : le vishing rencontre l’automatisation

Un groupe de menace suivi sous le nom UNC6671 a trouvé un moyen de combiner une ancienne tactique d’ingénierie sociale avec l’automatisation moderne, et les conséquences s’avèrent coûteuses pour les organisations prises dans son sillage. Selon les rapports sur l’activité du groupe, UNC6671 se fait passer pour le personnel interne du support informatique par téléphone afin de convaincre les employés de lui remettre l’accès à leurs comptes Microsoft 365 et Okta. Une fois à l’intérieur, le groupe vole les jetons de session actifs, ce qui permet aux attaquants de contourner complètement les mots de passe et l’authentification multifacteur, puis automatise le vol de données d’entreprise à des fins d’extorsion.

Ce qui rend cette campagne notable, ce n’est pas le moyen de contact initial. Le hameçonnage par téléphone, ou « vishing », est une tactique connue depuis des années. C’est l’automatisation ajoutée par-dessus qui transforme un simple appel réussi en une opération de vol de données à grande échelle, capable de siphonner silencieusement des fichiers et des communications dans tout un environnement Microsoft 365 avant que quiconque ne s’en aperçoive.

Comment l’attaque fonctionne réellement

L’attaque commence généralement par un appel téléphonique. Un employé reçoit ce qui semble être un appel ordinaire de l’équipe de support informatique de son entreprise, évoquant souvent un problème technique plausible comme un souci de connexion ou un verrouillage de compte. L’appelant guide la cible à travers des étapes qui aboutissent finalement à la remise d’un jeton de session actif ou d’identifiants liés à Microsoft 365 ou Okta, la plateforme d’identité que de nombreuses organisations utilisent pour gérer l’accès par authentification unique à leurs outils cloud.

Les jetons de session sont particulièrement précieux pour les attaquants car ils représentent une session déjà authentifiée. Plutôt que de devoir craquer un mot de passe ou déjouer l’authentification multifacteur, le pirate réutilise simplement le jeton pour se faire passer pour l’utilisateur légitime, souvent sans déclencher les alertes que générerait une nouvelle connexion suspecte.

Une fois cet accès établi, UNC6671 aurait automatisé le processus d’extraction des données de l’environnement Microsoft 365 compromis. Au lieu d’un opérateur humain fouillant manuellement les boîtes mail et les lecteurs partagés, des scripts automatisés font le gros du travail, collectant à grande échelle des courriels, des fichiers et d’autres éléments sensibles. Ces données volées deviennent ensuite un levier dans un système d’extorsion, le groupe menaçant de divulguer ou de vendre les informations si aucun paiement n’est effectué.

Ce schéma fait écho à ce que les chercheurs ont documenté dans des attaques contre des fonds spéculatifs liées au même groupe d’extorsion, où des sociétés financières ont été ciblées en utilisant des tactiques similaires d’ingénierie sociale et d’extorsion de données. Les organisations de services financiers ont tendance à être des cibles attrayantes car elles détiennent de grands volumes de données clients sensibles et subissent souvent une pression pour résoudre les incidents rapidement et discrètement.

Pourquoi cela compte au-delà des gros titres sur les violations

Il est tentant de considérer ceci comme une énième histoire de violation d’entreprise, mais les implications en matière de vie privée se répercutent au-delà. Lorsqu’un groupe de menace détourne la session Microsoft 365 d’un employé, il n’accède pas seulement aux fichiers internes de l’entreprise. Il obtient potentiellement une visibilité sur les dossiers clients, les données personnelles appartenant aux clients ou aux partenaires, et des communications internes qui n’étaient jamais destinées à quitter l’organisation.

Comme l’accès initial repose sur l’ingénierie sociale plutôt que sur un exploit technique, les outils de sécurité traditionnels comme l’application de correctifs ou la détection de point de terminaison n’arrêtent pas l’attaque à la source. La vulnérabilité exploitée est la confiance humaine, en particulier la supposition raisonnable d’un employé qu’un appel se réclamant du support informatique en provient réellement. Cela rend ce type d’attaque difficile à éliminer entièrement par la seule technologie, et transfère davantage de poids sur la formation organisationnelle et les processus de vérification.

L’angle de l’automatisation est également important. Une fois un jeton de session volé, la vitesse et l’échelle auxquelles les données peuvent être exfiltrées réduisent la fenêtre de détection et de réponse des équipes de sécurité avant que des quantités significatives d’informations sensibles ne disparaissent.

Ce que cela signifie pour vous

Si vous travaillez dans une organisation utilisant Microsoft 365 ou Okta, ce que font la plupart des grandes entreprises, cette campagne rappelle que votre propre vigilance lors d’un appel apparemment anodin du support informatique compte plus qu’il n’y paraît. Les services informatiques légitimes demandent rarement aux employés de leur lire des codes à usage unique, d’approuver des sollicitations de connexion inattendues ou de naviguer vers des pages de réinitialisation inconnues lors d’un appel non sollicité.

Pour les particuliers, l’essentiel à retenir est moins de télécharger un nouveau logiciel que d’adopter de bonnes habitudes. Soyez sceptique face aux appels non sollicités demandant un accès à un compte, même si l’appelant semble bien connaître les systèmes internes de votre entreprise. Vérifiez les demandes via un canal séparé et connu, par exemple en rappelant votre service informatique en utilisant un numéro de l’annuaire interne plutôt que celui fourni par l’appelant.

Points d’action concrets

Quelques mesures pratiques peuvent réduire votre exposition à ce type d’attaque :

  • Traitez avec prudence les appels non sollicités du support informatique, surtout ceux qui demandent des codes de connexion, des approbations de session ou des réinitialisations de mot de passe.
  • Vérifiez toute demande informatique via un numéro de téléphone provenant d’une source indépendante ou un système de chat interne, et non pas un numéro de rappel donné lors de l’appel suspect.
  • Signalez immédiatement les appels inhabituels du service d’assistance à votre équipe de sécurité, même si vous n’avez partagé aucune information, car cela peut indiquer que votre organisation est ciblée.
  • Si vous pensez que votre session a été compromise, demandez au service informatique de révoquer les jetons actifs et d’exiger une nouvelle connexion avec authentification multifacteur.

La campagne d’UNC6671 montre qu’à mesure que les organisations renforcent leurs défenses techniques, les attaquants ciblent de plus en plus la couche humaine. Rester attentif aux tentatives d’ingénierie sociale reste l’une des défenses les plus efficaces et les plus économiques à la disposition des employés ordinaires.