Zendesk dans l'œil de l'ouragan: comment le spam des réponses automatiques inunda plateaux d'entrée dans le monde

Depuis le 18 janvier, des milliers de personnes à travers le monde ont commencé à recevoir des vagues de courriels étranges et répétitifs qui, à première vue, semblent provenir d'entreprises légitimes. Il ne s'agit pas d'une défaillance isolée ou d'un virus traditionnel, mais d'un abus massif des systèmes de soins à la clientèle utilisant Zendesk: les attaquants créent de faux tickets en introduisant des adresses de courrier étrangères, et le mécanisme de réponse automatique de ces plateformes elle-même déclenche constamment des confirmations.

L'information du public sur ce phénomène a commencé à circuler sur les réseaux sociaux, les utilisateurs montrant des plateaux d'entrée empilés de messages avec des problèmes déconcertants. Des experts et des journalistes du secteur ont recueilli ces témoignages et publié des recherches expliquant le mécanisme derrière le problème. Un résumé technique et de suivi est paru dans Calculateur, et des professionnels de la sécurité comme Troy Hunt et d'autres membres de la communauté ont partagé des preuves dans leurs récits de X et dans les réseaux.

Ce qui distingue cette campagne d'un pourriel classique, c'est que les messages semblent provenir de domaines d'entreprise réels et de systèmes de support, ce qui leur permet d'extraire plus facilement les filtres de courrier. Pourtant, dans la grande majorité des cas, il n'y a pas de liens ou de fichiers malveillants destinés à escroquer ou installer un logiciel : l'intention apparente est de générer du bruit et de la confusion plutôt que de voler des identifiants. La poste est délibérément provocatrice, imite les notifications légales ou de retrait de contenu, ou promet des promotions supposées comme "Free Nitro Discord", et utilise souvent des caractères Unicode pour orner ou déformer le texte.

Les organismes dont les organes Zendesk ont été identifiés comme diffuseurs de ces réponses automatiques comprennent des noms reconnus du monde du numérique et du divertissement : plateformes et jeux de messagerie, services de stockage en nuage, sociétés de sécurité et organismes publics. Certaines entreprises concernées ont répondu publiquement aux utilisateurs en expliquant qu'il s'agit de réponses automatiques aux billets qui n'ont pas été générés par les créanciers de compte et en appelant à ce que ces messages soient ignorés.

Zendesk avait déjà averti en décembre d'un type similaire d'abus, qu'il appelait «relay spam», et publié des recommandations pour atténuer les risques. Dans sa documentation technique, il explique que permettre la création de tickets d'utilisateurs non vérifiés facilite ce vecteur d'attaque et suggère des mesures telles que restreindre qui peut envoyer des demandes et supprimer des champs ou des modèles qui acceptent des adresses ou des problèmes non validés. La note Zendesk est disponible dans votre centre d'aide support.zendesk.com ainsi que des guides pratiques pour durcir la configuration Permettre seulement aux utilisateurs ajoutés de soumettre des billets et conseils pour combattre le spam.

De la plate-forme, Zendesk a déclaré qu'il a déployé des garanties supplémentaires pour détecter et arrêter ce type d'activité inhabituelle, en mettant en œuvre des limites plus strictes et une surveillance pour arrêter les pics d'expédition. Cependant, la responsabilité pratique incombe aux entreprises qui composent ces systèmes : beaucoup optent pour des politiques ouvertes qui facilitent les contacts, mais cette ouverture peut également être exploitée par ceux qui ont des listes de diffusion à grande échelle.

Pour ceux qui ont reçu ces vagues, la principale recommandation est de garder le calme: il n'y a aucune preuve que les messages contiennent des liens d'hameçonnage ou des fichiers commis dans cette campagne particulière, et les entreprises concernées insistent pour qu'aucun accès aux comptes d'utilisateurs ou changement de services n'ait eu lieu sans autorisation. Cependant, il est approprié d'étendre la prudence habituelle avec tout courrier inattendu - ne cliquez pas sur des liens suspects, vérifiez l'expéditeur soigneusement et supprimez les messages redondants - et, si vous avez un doute, contactez l'entreprise directement par ses canaux officiels plutôt que de répondre au message reçu.

Sur le plan organisationnel, la leçon est claire : « confort » ne doit pas signifier exposition. Les équipes de soutien et de sécurité devraient examiner leurs flux de billets, limiter la création automatique à partir d'itinéraires non vérifiés et de modèles d'audit et d'emplacements qui permettent l'émission de notifications non vérifiées. Ce changement dans les politiques de configuration, associé à l'amélioration de la détection de la plate-forme de Zendesk, réduit considérablement la capacité de convertir un service légitime en une machine de spam.

Cet épisode rappelle que les infrastructures que nous utilisons quotidiennement peuvent devenir des vecteurs inattendus lors de la combinaison de configurations permissives et d'acteurs qui cherchent à causer un malaise à grande échelle. Il est essentiel d'être informé, de mettre en œuvre les recommandations de sécurité des fournisseurs et de valider les changements dans la manière dont les systèmes de soins automatiques réagissent pour empêcher le bruit numérique de polluer la communication légitime entre les entreprises et les utilisateurs. Pour suivre la couverture technique et les mises à jour de cet incident, BleepingComputer a affiché le suivi des cas sur son site : BleepingComputer - Sécurité, et les pages de support de Zendesk contiennent les instructions officielles mentionnées ci-dessus.