Phishing par téléphone qui évite MFA et attaque le SSO Le nouveau vecteur d'attaque d'entreprise

Les entreprises qui comptent sur des services de démarrage à session unique (SSO) comme Okta viennent de recevoir une alerte qui montre à nouveau à quel point les attaquants sont créatifs et dangereux lorsqu'ils combinent ingénierie sociale et outils techniques. Les chercheurs d'Okta ont identifié des kits d'hameçonnage spécialement conçus pour les attaques téléphoniques - connu sous le nom de vishing - qui fonctionnent comme des plates-formes "adverse-in-the-medium" en temps réel et sont offerts dans un modèle "service". Ces kits ne sont pas des pages statiques : ils permettent à l'appelant d'interagir et de modifier ce que la victime voit pendant que l'appel se produit, facilitant le vol d'identités et l'élimination de multiples mécanismes de défense.

Selon le rapport publié par Okta, ces kits comprennent un panneau de contrôle à partir duquel l'attaquant guide le flux d'authentification, met à jour les dialogues affichés sur le web et synchronise les écrans avec les demandes que le service légitime émet au moment d'une connexion. Ainsi, lorsque la victime écrit son utilisateur et son mot de passe sur la page frauduleuse, ces identifiants sont envoyés à l'agresseur pour essayer un accès réel immédiatement. Si un défi d'authentification supplémentaire - comme une notification de poussée ou un code TOTP - apparaît, l'agresseur peut changer l'interface que la victime voit pour correspondre à la demande légitime et ainsi la convaincre d'approuver ou d'entrer le code qu'elle vient de recevoir, tout en maintenant la conversation téléphonique.

Les attaquants agissent avec planification : ils font une reconnaissance préalable pour savoir quelles applications une personne cible utilise et les numéros de téléphone associés au support de l'entreprise, créent des pages d'hameçonnage personnalisées qui imitent des domaines internes (par exemple, des variantes qui incluent "interne" ou "mon" à côté du nom de l'entreprise) et appellent à partir de numéros supplantés qui semblent être le service d'aide. Dans bon nombre des incidents documentés, les flux de données entre la page d'hameçonnage et le moteur de l'agresseur sont retransmis en temps réel grâce à des technologies comme Socket. IO et par des canaux de messagerie tels que Telegram, qui permet à la session de la victime d'être traitée immédiatement.

Cette approche fait de SSO un objectif particulièrement attrayant : une connexion unique peut donner accès à une liste d'applications corporatives - courrier, stockage en nuage, CRM, outils collaboratifs et plus - afin de compromettre un compte peut ouvrir la porte à un grand volume d'informations précieuses. Okta et les médias qui ont couvert l'affaire décrivent comment, une fois à l'intérieur du panneau Okta, les attaquants examinent quelles applications sont associées au compte compromis et extrait des données à partir desquelles ils contiennent des informations sensibles - avec des références spécifiques à des plates-formes telles que Salesforce parmi les plus exploités - et ensuite demandent extorsion ou vendent l'information.

L'une des techniques les plus inquiétantes que ces kits permettent est la capacité à dessiner des mécanismes modernes de MFA basés sur des notifications de poussée et de correspondance de nombre. En disant à la victime exactement quel nombre ou quelle action choisir dans la notification, et en montrant simultanément un dialogue identique sur la page, l'agresseur rend une approbation légitime. Il en va de même pour les codes TOTP : si l'opérateur d'appel demande le code et que la victime l'introduit dans le web apocryphe, cette valeur atteint l'attaquant et est utilisée instantanément pour compléter l'authentification.

Okta recommande à ses clients de migrer vers des méthodes d'authentification résistantes au phishing, comme Clés FIDO2, les mots de passe ou leur propre solution FastPass, qui réduisent considérablement l'efficacité de ces attaques parce qu'elles ne dépendent pas de codes ou d'approbations qui peuvent être transmis par l'intermédiaire. Vous pouvez lire l'avis technique et les recommandations d'Okta dans son entrée sur la façon dont ces kits s'adaptent au script de ceux qu'ils appellent: Okta: Les kits d'hameçonnage s'adaptent au script des appelants. Okta maintient également des orientations pratiques pour identifier et atténuer les campagnes d'ingénierie sociale pour les tables d'aide à: Services d'assistance ciblés en ingénierie sociale.

La presse spécialisée a enquêté et documenté des cas précis dans lesquels ces kits ont été utilisés dans des attaques contre des entreprises des secteurs financier et de la gestion immobilière, et comment les criminels ont combiné l'accès initial et l'extorsion subséquente. Un bon résumé journalistique de ce qui s'est passé se trouve dans la couverture BleepingComputer: Calculateur de roulement: Okta guerres de visionnement kits de phishing.

Que peuvent faire les organisations et les gens pour réduire les risques? La réponse passe par plusieurs fronts allant de la technologie aux processus et à la culture de sécurité. Limiter l'exposition aux pouvoirs délégués et appliquer le principe de moins de privilège dans l'accès aux applications réduit l'impact d'un engagement. La mise en œuvre et la hiérarchisation des facteurs d'authentification qui ne sont pas susceptibles d'être retransmis par un intermédiaire - les clés matérielles et les références standard FIDO en sont un exemple - offre une défense efficace contre ces kits en temps réel. En outre, adopter des contrôles qui détectent les comportements inhabituels au début de la session, inspecter et bloquer les domaines d'hameçonnage connus et renforcer les procédures de vérification des appels entrants au support technique aide à couper le vecteur d'ingénierie sociale par téléphone.

La formation continue du personnel est également essentielle : enseigner à vérifier l'authenticité des appels d'assistance, ne pas entrer d'identification sur les pages qui arrivent par des liens non vérifiés et utiliser des canaux sécurisés pour confirmer les interactions sensibles. Les centres nationaux de cybersécurité fournissent des guides pratiques sur la façon de reconnaître et de réagir à l'hameçonnage et à l'observation, par exemple la documentation britannique au Centre national de cybersécurité : NCSC: Guide pour l'hameçonnage, et des organisations comme FIDO Alliance expliquent pourquoi les technologies à clé publique rendent la vie difficile pour les agresseurs: FIDO Alliance.

Ces incidents montrent deux leçons claires : premièrement, que les attaquants continuent d'affiner le mélange entre l'ingénierie sociale et l'automatisation pour créer des attaques très efficaces; et deuxièmement, que la sécurité basée uniquement sur des mots de passe et des facteurs qui peuvent être retransmis laissera toujours une porte ouverte. Pour effectuer la migration planifiée vers l'authentification résistante au phishing, combiner la détection proactive avec les pratiques de vérification humaine et réduire la zone d'accès par des politiques de permis strictes sont des étapes qui ne peuvent plus être retardées pour les organisations qui traitent des données sensibles.

Si vous voulez approfondir la recherche originale et les recommandations techniques, vérifiez l'analyse d'Okta et la couverture médiatique liée ci-dessus ; les deux lectures offrent un contexte et des étapes concrètes pour commencer à durcir les défenses contre ce type de campagne.