L'appel qui ouvre la porte: phishing adaptative qui vole l'accès SSO et expose le nuage de votre entreprise

Ces derniers jours, une tactique a réapparu qui montre comment l'ingénierie sociale peut continuer à violer les barrières de sécurité les plus sophistiquées : les groupes criminels profitent des faux appels téléphoniques pour tromper les employés et accéder aux comptes d'entreprise à guichet unique (SSO). Ces comptes servent de clés maîtresses aux applications cloud d'une organisation, de sorte que leur engagement peut entraîner un vol d'information, des intrusions subséquentes et des demandes d'extorsion.

La mécanique est perturbée simple et efficace: un attaquant pose comme support technique, contacte un travailleur et le guide à entrer ses lettres de créances sur une page qui imite le portail de l'entreprise. Pendant ce temps, un panneau de commande de kit d'hameçonnage permet à l'attaquant d'adapter en temps réel ce que l'utilisateur voit, en demandant également des codes MFA ou en passant des notifications push si nécessaire. Résultat: accès à SSO et aux applications liées de ce panneau, des solutions de courrier et de CRM aux plateformes de collaboration et de stockage.

Les entreprises qui offrent SSO, comme Okta, Microsoft (Enter) et Google, facilitent la connexion de nombreuses applications à un flux d'authentification unique, ce qui améliore la productivité mais concentre également les risques. Ces panneaux comprennent généralement des applications liées - courrier d'entreprise, CRM, outils de soutien et dépôts de documents - afin qu'un compte compromis puisse devenir une porte directe aux actifs sensibles.

Okta a publié une analyse technique des kits d'hameçonnage qui aident à mener ces campagnes. Dans son rapport, l'entreprise décrit comment ces outils permettent de modifier dynamiquement les dialogues sur la page de remplacement pour guider l'utilisateur étape par étape pendant l'appel, même lorsque la vérification demande un facteur supplémentaire tel que push ou TOTP. Vous pouvez lire l'analyse d'Okta sur son blog technique: Okta Threat Intelligence.

L'enquête journalistique qui a mis en garde contre la vague d'attaques a cité des sociétés qui ont reçu des exigences de paiement signées par le groupe d'extorsion appelé ShinyHunters. Le groupe lui-même a déclaré aux médias qu'il est derrière certaines de ces campagnes et que son principal intérêt est les données hébergées sur les plateformes CRM telles que Salesforce; il a également veillé à ce qu'il ait une infrastructure pour exécuter des appels et des pages frauduleux. Plus de détails sur la couverture des nouvelles peuvent être trouvés dans Calculateur, qui a suivi l'affaire.

Une pratique particulièrement dangereuse dans ces intrusions est l'utilisation de données précédemment filtrées pour accroître la crédibilité des appels : numéros de téléphone, charges, noms et détails corporatifs extraits des lacunes précédentes permettent à l'agresseur de mieux personnaliser quelqu'un de l'équipe informatique et de réduire les doutes de l'employé contacté. Après l'intrusion, les attaquants extraient souvent des documents et des bases de données et menacent de les publier ou de les vendre s'ils ne reçoivent pas de rançon.

Des incidents récents ont été liés à des entreprises dont les données figuraient dans des fuites antérieures ou qui ont confirmé un accès non autorisé à leurs réseaux. Certains services touchés par des fuites récentes - selon les rapports publics - comprennent des plateformes telles que SoundCloud ou Crunchbase; ces organisations ont publié des rapports et enquêtent sur la portée des incidents. Lisez les notes officielles des entreprises pour connaître leur version et leurs mesures : par exemple, la page de presse de Crunchbase et les avis ou les communiqués de SoundCloud le cas échéant.

Les réponses des grands fournisseurs ont été prudentes. Microsoft a indiqué qu'elle n'avait pas de déclarations supplémentaires à l'époque, et Google a noté qu'elle n'avait aucune preuve d'abus direct de ses produits dans cette campagne au moment du rapport. Lorsque des attaques qui exploitent le facteur humain plutôt que des défaillances techniques se produisent, la communication publique est souvent progressive tout en étudiant les vecteurs et en atténuant les risques.

Que peuvent faire les organisations pour réduire ce risque? La première ligne de défense est de reconnaître que la soi-disant "confirmation humaine" n'est pas une garantie absolue: l'entraînement continu à la détection des supplantations, les exercices d'hameçonnage par l'équipe de sécurité elle-même et les protocoles de vérification téléphonique interne aident, mais ne sont pas assez sur leur propre. Il est essentiel de combiner sensibilisation et contrôles techniques qui rendent l'abus difficile même si les pouvoirs parviennent à l'agresseur.

Les recommandations techniques que les entreprises devraient évaluer comprennent le déploiement de mécanismes d'authentification résistant à l'hameçonnage tels que les clés FIDO2 et d'autres authentificateurs physiques; la mise en œuvre de politiques d'accès conditionnel qui limitent la session et exigent une réauthentification à des comportements anormaux; la segmentation des privilèges de sorte qu'un compte n'ait pas un accès aveugle à toutes les applications; et le suivi et la réponse rapides fondés sur la détection de modèles suspects dans les sessions de l'OSS. Microsoft et Google publient des lignes directrices sur les bonnes pratiques en matière de gestion de l'accès et de l'identité qui peuvent servir de point de départ: Microsoft Accès conditionnel et Google Workspace Security Guides.

Il est également important de réduire la surface de l'attaque. Limiter les autorisations accordées aux comptes utilisateurs, désactiver les méthodes de récupération que les attaquants peuvent coopter et contrôler la création d'applications tierces au sein du SSO sont des décisions opérationnelles qui rendent l'exploitation de masse difficile après un engagement initial.

Du point de vue de la réglementation et de la conformité, garder des pistes d'audit, mettre à jour les plans d'intervention en cas d'incident et travailler avec les forces de sécurité lorsque l'exfiltration est détectée sont des étapes qui permettent non seulement de contenir les dommages, mais aussi de préserver les preuves et de respecter les obligations légales. Les organisations qui subissent un vol massif de données ont souvent besoin d'une coordination entre les équipes techniques, juridiques et de communication pour gérer la crise.

La leçon centrale est que les agresseurs ne cherchent pas toujours des échecs de service: ils indiquent souvent le lien le plus faible, qui est généralement une personne pressée et un appel convaincant. La combinaison de la formation, des contrôles techniques robustes et des politiques qui limitent l'impact de l'accès engagé est la défense la plus pratique aujourd'hui.. L'établissement d'une authentification résistante à l'hameçonnage, le durcissement du contrôle d'accès et le maintien de procédures claires pour les appels de soutien peuvent faire la différence entre une tentative ratée et une intrusion qui finit par divulguer des informations sensibles.

Si vous voulez aborder la question technique, en plus de l'analyse et de la couverture médiatique d'Okta, des documents comme le guide d'authentification du NIST fournissent la base pour concevoir des architectures d'accès plus sûres: NIST SP 800-63B. Et si votre entreprise utilise SSO, il est recommandé d'examiner les paramètres d'accès conditionnel et la gestion des sessions dans la documentation officielle de votre fournisseur.

Le phénomène n'est pas nouveau, mais son ampleur et son ingénierie ont évolué : des trousses d'hameçonnage télécommandées et la réutilisation de données provenant de lacunes antérieures ont rendu ces campagnes plus convaincantes et difficiles à détecter. Garder la garde haute et appliquer la défense en profondeur reste la meilleure recette devant un adversaire qui exploite la confiance humaine pour ouvrir des portes numériques.