Phishing qui semblait légitime : donc ils exploitent les métadonnées des appareils pour injecter du HTML dans des courriels à compte élevé

Le matin suivant la manipulation, des centaines de clients de Robinhood ont reçu un e-mail qui, à première vue, semblait une alerte légitime de connexion: pas de réponse @ robinhood.com, a passé les contrôles SPF et DKIM et a montré des données telles que le temps, IP et le téléphone partiel. Cependant, dans le même message, un bloc HTML avait été intégré pour simuler un avis de "dispositif non reconnu" avec un bouton qui a conduit à un site d'hameçonnage. Robinhood a confirmé qu'il s'agissait d'un abus du flux de création de comptes et qu'il n'y avait pas de fuite directe de bases de données ou d'accès aux fonds, et qu'ils avaient déjà retiré le champ des abus du courrier d'inscription ( Déclaration de Robinhood X).

La technique utilisée par les attaquants était simple dans leur conception et dangereuse dans leur efficacité : ils ont profité du fait que le système avait enregistré des métadonnées « d'appareils » pendant la création des comptes et que ces métadonnées n'avaient pas été correctement nettoyées avant d'être incorporées dans l'organisme de messagerie. En envoyant du HTML intégré dans ce champ, ils ont reçu un courriel légitime pour rendre le contenu malveillant. En outre, ils ont utilisé les listes de diffusion disponibles sur les marchés et l'alias avec les points Gmail pour créer de nouveaux comptes qui fourniraient ces confirmations aux victimes réelles. Ce genre d'abus montre que L'authenticité de l'expéditeur ne suffit pas à valider la sécurité du message.

Au-delà de l'incident, la leçon technique est claire: toute donnée potentiellement contrôlée par un utilisateur doit être traitée comme hostile. L'absence de nettoyage des entrées dans les modèles de messagerie a permis l'exécution du HTML dans un contexte de haute confiance. Les organisations qui produisent des courriels transactionnels devraient revoir leurs modèles, éliminer le rendu du HTML des champs externes et prendre des mesures visant à empêcher que les métadonnées ou les emplacements des appareils ne deviennent des vecteurs d'injection. Pour comprendre la nature de ces risques, il convient d'examiner les lignes directrices établies sur l'injection et les SXS, comme celles de l'OWASP ( OWASP sur XSS).

Pour les utilisateurs, les recommandations pratiques sont immédiates et simples: ne cliquez pas sur les liens de courrier suspects; supprimez-les et vérifiez toute alerte dans l'application officielle ou sur le web en tapant l'adresse manuellement. Activer l'authentification de deux facteurs, de préférence avec des clés physiques ou des applications d'authentification plutôt que SMS, examiner l'activité du compte à partir de l'application et changer le mot de passe en cas de doute. Si vous avez reçu le courrier frauduleux, signalez-le à Robinhood par les canaux officiels et, par précaution, vérifiez si votre adresse est répertoriée dans les lacunes historiques (l'entreprise avait une exposition de masse en 2021 qui est toujours présente sur les marchés de données), et envisagez la surveillance du crédit si vous partagez des données sensibles en dehors de la plateforme.

Les entreprises doivent aller au-delà de l'opinion de « nous avons signé les courriels » et appliquer des contrôles de couche : des politiques strictes de DMARC avec alignement, assainissement et évasion de toute entrée dans des modèles, limitation de la création massive de comptes par origine, détection de modèles anormaux dans des dispositifs élevés et révisions périodiques de logique qui transforme les métadonnées en contenu visible. Il est également recommandé que le produit et l'équipement de sécurité testent les flux à bord avec des modèles de menace et des exercices d'abus pour anticiper ces mauvais usages.

Cet épisode est un rappel que la confiance dans le canal de messagerie est fragile et que les attaquants cherchent à convertir des processus légitimes dans leur passerelle. La combinaison des contrôles techniques, des meilleures pratiques de développement et des habitudes sûres de l'utilisateur est le seul moyen de réduire le succès de ces illusions.. Pour voir des exemples et des discussions publiques sur la fraude, vous pouvez voir le thread où les utilisateurs ont partagé capture et analyse dans Reddit ( discussions à Reddit) et suivre les recommandations officielles de la plateforme dans ses communiqués.