Phishing BitB pointe aux professionnels de la publicité et aux gestionnaires de comptes pour voler MFA

Les chercheurs en sécurité ont décrit une campagne d'hameçonnage pour les professionnels de la publicité et les gestionnaires de comptes qui utilise une plate-forme humaine pour imiter des produits publicitaires liés aux assistants de l'IA - y compris Google Gemini, ChatGPT, Claude, Perplexity, Muse and Manus - avec l'objectif principal de recueillir des identifiants et des codes d'authentification multi-facteurs. Selon le rapport partagé par les analystes, les sites frauduleux promettent des services tels que l'optimisation des campagnes, les audits des dépenses et les connexions de comptes d'entreprise, et utilisent une tromperie visuelle appelée "Browser-in-the-Browser" (BitB) pour afficher de fausses fenêtres de connexion qui semblent appartenir à des domaines légitimes alors que le vrai navigateur reste sur la page frauduleuse.

Faits confirmés par les chercheurs: les pages frauduleuses incluses dans l'analyse partagent la même pile technique (Suivant.js et Socket. IO), utilisez un flux dans lequel un bouton "Connect" ouvre une interface ivre qui simule une barre d'adresse de confiance et capture les tentatives de mot de passe. En parallèle, une empreinte digitale de l'appareil est enregistrée et la plate-forme transmet les données à l'opérateur par des appels à des paramètres tels que "/ api / send / ip " et communication en temps réel par Socket. Oui. Les opérateurs s'attaquent à ce défi de MFA qui est montré à la victime et peuvent essayer de se connecter au compte cible en temps réel avec les identifiants obtenus. Les chercheurs ont également signalé que certains domaines (par exemple, museads.ai) sont apparus peu après le lancement public de certains produits IA, et que la même infrastructure a soutenu d'autres thèmes d'hameçonnage (réclamations de remboursement Google Ads, confirmations de paiement et offres d'emploi fausses pour des marques connues). De plus, la recherche souligne que les versions antérieures du code de la plateforme ont été exposées dans des dépôts publics mal configurés.

Techniquement, la tromperie BitB exploite la confiance visuelle de l'utilisateur: au lieu de rediriger vers une page externe, l'attaquant dessine une fenêtre de navigateur dans la page légitime qui inclut une fausse barre d'adresse avec URL reconnaissable. Si la victime entre l'utilisateur, le mot de passe et le code MFA dans cette case, l'opérateur reçoit cette entrée et peut l'utiliser immédiatement pour y accéder à partir de son propre navigateur. L'utilisation de Socket. IO facilite la communication bidirectionnelle en temps réel entre la victime et l'opérateur, permettant à l'agresseur d'adapter le flux (par exemple, demander un code pour SMS, application ou clé) selon le cas. Les empreintes digitales recueillent les signaux du dispositif qui aident les opérateurs à éviter les contrôles de sécurité ou à choisir la méthode d'authentification la plus efficace.

Qui cela affecte - t - il? Principalement du personnel ayant accès à l'administration ou à la gestion des comptes : gestionnaires d'agences, acheteurs de médias et gestionnaires de comptes (CCM). L'intérêt de l'attaquant est généralement économique: un compte publicitaire avec un enregistrement propre et des permis de facturation est précieux parce qu'il vous permet de lancer des campagnes avec des cartes volées ou d'insérer des paiements que l'attaquant peut alors monétiser ou vendre sur des marchés illicites. De plus, lorsqu'un gestionnaire de compte est compromis, les dommages sont répartis entre les clients et les comptes connexes, ce qui complique la récupération.

Conséquences réelles et pratiques: Bien qu'une victime puisse retirer une carte de paiement en quelques heures, la récupération du contrôle effectif d'un compte publicitaire peut prendre des semaines ou des mois. Les agresseurs ajoutent souvent leurs propres administrateurs, dégradent les autorisations du propriétaire légitime ou poursuivent les campagnes pendant que la récupération est négociée, générant des factures pour des dépenses frauduleuses et la perte de réputation pour l'agence et ses clients. Dans des cas similaires, les logiciels malveillants ont été utilisés pour voler l'accès et les données, et les acteurs ont profité des résultats sponsorisés et du contenu partagé sur les plateformes de recherche et de chat pour diriger le trafic vers ces escroqueries.

Information rapportée par rapport aux aspects incertains : les détails techniques décrits et l'existence de domaines spécifiques sont signalés par les chercheurs et documentés dans leur rapport. Les motivations économiques et l'estimation selon laquelle les agresseurs vendront des comptes ou les utiliseront pour dépenser frauduleusement sont plausibles et étayées par des enquêtes antérieures sur le vol de comptes publicitaires, mais l'identité des opérateurs, leur portée totale et la somme exacte de l'argent déçu par ces incidents n'ont pas été confirmées publiquement et demeurent incertaines.

Mesures spécifiques à prendre par les lecteurs et les organisations: d'abord, supposons que la connexion dans les contextes de gestion des annonces est l'un des vecteurs les plus précieux et agissent en conséquence. Recommandations pratiques et applicables aujourd'hui:

1) Migrer en authentification résistante au phishing. Mettre en place des clés de sécurité physique ou des mots de passe (WebAuthn / FIDO2) pour les comptes privilégiés. Les clés physiques empêchent une fausse fenêtre de capturer des données utilisables. Des lignes directrices et des normes sur cette approche sont disponibles dans la documentation NIST et FIDO Alliance : NIST SP 800-63B et FIDO Alliance - comment ça marche.

2) Segmenter l'accès et réduire les privilèges. Ne pas utiliser de comptes personnels avec des permis administratifs; utiliser des comptes avec des rôles minimums pour les tâches quotidiennes. Mettre en place des alertes sur les plateformes publicitaires pour les changements de facturation, les administrateurs ajoutés et les campagnes avec des dépenses inhabituelles.

3) Protéger la surface d'hameçonnage. Implémenter des blocs DNS / HTTP vers des domaines et des modèles d'URL suspects grâce à des solutions de sécurité réseau, et utiliser des politiques de courrier (SPF / DKIM / DMARC) et des outils de filtrage pour réduire les fausses invitations au personnel.

4) Vérification du contexte et procédures opérationnelles. Pour les connexions à des comptes tiers ou des intégrations, exiger des étapes hors bande (appeler, vérifier auprès de l'administrateur secondaire) avant d'accepter des modifications sensibles. Apprenez à identifier les fenêtres souples par rapport aux fenêtres réelles et à vérifier que l'URL complète dans la barre de navigateur réelle correspond à l'entité souhaitée.

5) Réponse à l'engagement. Si vous soupçonnez un engagement, des sessions de révocation et des jetons, changez de mot de passe avec des mécanismes résistants à l'hameçonnage, retirez les administrateurs inconnus et contactez immédiatement le support de la plateforme pour demander le gel du compte et examiner les frais. Aviser la banque et permettre les litiges en espèces le cas échéant.

Enfin, la prévention nécessite une coordination entre la sécurité informatique, le matériel de marketing et les fournisseurs de publicité. La recherche qui documente ces tactiques souligne que les attaquants ne dépendent plus seulement des vulnérabilités techniques : exploiter la confiance de la marque et les médias aujourd'hui pour masquer la fraude sophistiquée. Les organisations responsables des comptes de publicité devraient accorder la priorité à l'adoption d'un MFA résistant au phishing, à des contrôles d'accès stricts et à des procédures de vérification pour toute connexion de tiers. Pour mieux comprendre le phénomène de l'hameçonnage et les techniques défensives de base, les ressources de la communauté de l'hameçonnage constituent un bon point de départ : OWASP - Phishing.