Colin Powell et John Podesta piégés par hameçonnage

De nouveaux éléments tendent à faire le lien entre les cybercriminels ayant attaqué le conseil national démocrate (DNC), organe de gouvernance du parti démocrate américain, ou tout du moins Fancy Bear parmi eux, et l’opération de hameçonnage qui a visé des comptes de messagerie électronique en lien avec la campagne d’Hillary Clinton.

Une enquête conduite par SecureWorks a ainsi permis d’identifier un lien malicieux, créé avec le service de raccourcissement d’URL Bitly, utilisé par les pirates pour prendre le contrôle du compte de messagerie de John Podesta, à la tête de la campagne de la candidate à la présidence des Etats-Unis. Le compte Bitly utilisé pour cela est lié à un domaine contrôlé par le groupe Fancy Bear, aussi connu sous la référence APT 28. Et suspecté d’œuvrer dans l’ombre de Moscou.

Le lien adressé à Podesta compterait parmi 9000 liens malicieux créés par le groupe afin de viser près de 4000 personnes entre octobre 2015 et mai 2016. John Podesta a cliqué dessus le 19 mars dernier, ouvrant dans la foulée son compte de messagerie électronique aux cybercriminels. Celui de l’ancien Secrétaire d’état Colin Powell a été compromis de la même manière. Ces attaques ont conduit à la publication, par Wikileaks, de milliers de messages électroniques échangés par Podesta.

Les pirates ne manquaient pas là d’un certain sens de l’ironie : ils semblent avoir envoyé des messages ressemblant à s’y méprendre à ceux qu’émet Google en cas de tentative suspecte d’accès à un compte ; le parfait détournement d’une mesure de sécurité. Pour s’en protéger, il convient, comme pour toute tentative de hameçonnage, ne pas suivre le lien contenu dans le courriel, mais plutôt de consulter directement les informations de son compte Google dans son navigateur Web, pour vérifier la liste des activités suspectes et des appareils connectés.

Ce type d’opération, qui s’appuie sur l’humain, continue de fonctionner. Mais pour Rick Holland, vice-président de Digital Shadows en charge de la stratégie, l’industrie informatique peut faire plus pour lutter.

« Souvent, la victime est blâmée pour des tentatives de phishing réussies, alors même que les contrôles de sécurité en place sont tout aussi responsables. L’humain sera toujours le maillon faible et il n’y a pas de solution pour nous empêcher d’être piégés. Mais cela ne veut pas dire que les organisations devraient jeter l’éponge en matière de formation. La formation va réduire la quantité de tentatives de hameçonnage réussies, dégageant du temps pour permettre aux équipes de sécurité de se concentrer sur la détection des cas où des utilisateurs ont cliqué ».

Adapté de l’anglais.