Des pirates informatiques qui réclament des rançons utilisent des appels téléphoniques pour compromettre leurs cibles. Depuis un mois, ils visent des dizaines d’institutions financières américaines et d’autres entreprises, selon des conclusions de Google et des données de renseignement internet examinées par NET.
Les cybercriminels ont conçu des sites web sophistiqués pour voler les mots de passe des employés de grandes sociétés de capital-investissement et d’entreprises financières. Parmi les cibles figurent Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital et Moody’s.
Dans un article de blog publié jeudi, Google a révélé que les pirates opèrent sous plusieurs pseudonymes, comme Redact, Pink, Falcon et Helix. Google a refusé de commenter les conclusions spécifiques de NET, mais son blog indique que certaines entreprises, qu’elle n’a pas nommées, ont payé des rançons aux pirates.
NET n’a pas pu confirmer de manière indépendante quelles entreprises ont été compromises avec succès.
Les experts soulignent que la dépendance des pirates à des techniques de faible technicité, en particulier les appels téléphoniques, pour infiltrer le secteur financier met en lumière une vulnérabilité critique. Malgré la prévalence de programmes de sécurité avancés et de menaces pilotées par l’intelligence artificielle, ces méthodes plus anciennes et plus directes restent remarquablement efficaces.
Des intrusions réussies pourraient exposer des données sensibles de certaines des plus grandes sociétés de capital-investissement américaines, qui fournissent des capitaux à de nombreuses entreprises.
Lee Clark, responsable de la production de renseignements sur les cybermenaces au sein du Retail and Hospitality ISAC, un groupe d’analyse et de partage d’informations sectoriel, a expliqué la simplicité de la stratégie. « Parce que la clôture est maintenant si sophistiquée et high-tech, il suffit de tromper le gardien pour qu’il nous ouvre la porte », a-t-il déclaré. Clark a ajouté : « Cet élément humain est la raison pour laquelle cela a explosé de la manière que l’on connaît. »
Plusieurs entreprises ciblées, dont KKR, Bain Capital, Clearlake Capital, CME, TPG et Apollo, ont refusé de commenter les attaques. Blackstone, Bridgewater Associates et Moody’s n’ont pas répondu immédiatement aux demandes de commentaires.
Google, une filiale d’Alphabet, a noté dans son article de blog que les pirates ont récemment recentré leur attention sur les sociétés de capital-investissement, les cabinets d’avocats et les agences de notation financière.
Austin Larsen, analyste principal des menaces au sein du Threat Intelligence Group de Google, a expliqué que les pirates ciblent généralement des secteurs en fonction de calculs financiers, souvent avec succès. « En réalité, c’est une question d’argent », a déclaré Larsen. « Ils pensent que ces entreprises ou organisations possèdent des données suffisamment sensibles pour que, si elles sont volées, elles paient pour les protéger. »
Bien que Google n’ait pas nommé de cibles spécifiques, NET a identifié de manière indépendante de nombreux pièges en ligne propres à chaque entreprise. L’agence y est parvenue en analysant les 72 sites web malveillants listés dans le rapport de Google via des plateformes de renseignement web comme DomainTools et urlscan, qui ont signalé des sous-domaines malveillants adaptés à chaque firme.
Larsen a confirmé que « tous ont probablement été utilisés dans des tentatives d’intrusion », tout en précisant : « Ils n’ont pas tous réussi. »
Les pirates ont employé des techniques méticuleuses d’ingénierie sociale. Ils contactent les employés sur leurs téléphones portables personnels en se faisant passer pour le service d’assistance de l’entreprise, parfois en usurpant le numéro de téléphone correct du service d’assistance. Ils informent ensuite les cibles d’une directive informatique urgente pour mettre à jour les clés d’accès ou l’authentification multifacteur, et les dirigent vers des sites web trompeurs avec des noms de domaine comme « passkeyhelpdesk » ou « secure-passkey ».
Si un employé saisit son mot de passe, les pirates récupèrent son code de sécurité de secours (généralement envoyé par SMS ou généré par une application) en direct par téléphone, puis détournent son compte avant la fin de l’appel. Larsen a souligné que cette tactique, bien qu’efficace, n’est pas particulièrement avancée. « Sophistiqué n’est pas le bon mot », a-t-il dit. « C’est juste très efficace. »
NET n’a pas pu joindre les présumés pirates. Redact, qui opérait auparavant sous le nom de Blackfile, a déclaré sur son site web du darknet que ses pirates « ne sont pas motivés politiquement ou moralement » et qu’ils « ne répondent pas actuellement aux questions de la presse ». Falcon, un autre groupe, a reconnu une affiliation avec Redact mais a nié tout lien avec Helix ou Pink. Larsen a noté que les identités exactes des pirates et leurs relations restent floues, malgré leur utilisation apparente d’une infrastructure commune. « Il y a encore des inconnues ici », a-t-il dit.
Ces tentatives de piratage, dont certaines ont été précédemment rapportées par NET, ont suscité des inquiétudes à Wall Street. Point72 Asset Management, par exemple, a informé ses investisseurs mercredi qu’elle avait été ciblée, selon une source proche du dossier. Cette source, ainsi qu’une autre, a indiqué que d’autres fonds spéculatifs, dont Two Sigma Investments et Citadel, dont les noms figuraient également dans les données de NET, ont été ciblés. Two Sigma n’a pas répondu aux demandes de commentaires, tandis que Citadel et Point72 ont refusé de s’exprimer.
Avant de se concentrer sur les institutions financières, les pirates avaient d’autres entreprises dans leur ligne de mire, comme le détaillent l’article de blog de Google et les données examinées. Au cours des cinq dernières semaines seulement, les cybercriminels ont construit des pièges numériques pour plus de 200 entreprises, dont le géant du covoiturage Uber, le courtier en ligne Zillow et la marque de jeans Levi Strauss, ainsi que plusieurs cabinets d’avocats comme Paul Hastings et Greenberg Traurig.
Uber, Zillow, Paul Hastings et Levi Strauss n’ont pas répondu aux messages sollicitant des commentaires. Greenberg Traurig a publié un communiqué affirmant qu’elle « n’a pas subi de violation de données compte tenu des couches de protocoles de sécurité en place pour protéger les données des clients et le cabinet », sans fournir plus de détails.