L’évolution des tactiques alimente la montée en puissance de la compromission de messagerie d’entreprise

L’activité cybercriminelle relative à la compromission de messagerie d’entreprise s’accélère. Microsoft observe une tendance significative dans l’utilisation par les attaquants de plateformes telles que BulletProftLink, une plateforme populaire pour créer des campagnes de courrier malveillant à l’échelle industrielle. BulletProftLink vend un service de bout en bout comprenant des modèles, l’hébergement et des services automatisés pour la BEC. Les adversaires qui utilisent ce CaaS reçoivent des informations d’identification et l’adresse IP de la victime.

Les acteurs de la menace BEC achètent ensuite des adresses IP auprès de services IP résidentiels correspondant à la localisation de la victime, créant ainsi des proxys IP résidentiels qui permettent aux cybercriminels de masquer leur origine. Désormais, armés d’un espace d’adressage localisé pour soutenir leurs activités malveillantes, en plus des noms d’utilisateur et des mots de passe, les attaquants par BEC peuvent dissimuler leurs mouvements, contourner les indicateurs « voyage impossible » et ouvrir une passerelle pour mener d’autres attaques. Microsoft a observé que les acteurs de la menace en Asie et dans un pays d’Europe de l’Est déployaient le plus souvent cette tactique.

La détection « voyage impossible » est utilisée pour indiquer qu’un compte d’utilisateur pourrait être compromis. Ces alertes signalent les restrictions physiques qui indiquent qu’une tâche est exécutée à deux endroits, sans que le temps nécessaire pour se rendre d’un endroit à l’autre ne soit possible.

La spécialisation et la consolidation de ce secteur de l’économie du cybercrime pourraient intensifier l’utilisation d’adresses IP résidentielles pour échapper à la détection. Les adresses IP résidentielles associées à des localisations à grande échelle permettent aux cybercriminels de rassembler de grandes quantités d’informations d’identification compromises et d’accéder à des comptes. Les acteurs de la menace utilisent des services d’adresse IP et de proxy que les responsables marketing et d’autres personnes peuvent utiliser à des fins de recherche pour étendre ces attaques. Un fournisseur de services d’adresse IP, par exemple, dispose de 100 millions d’adresses IP pouvant faire l’objet d’une rotation ou d’une modification chaque seconde.

Alors que les acteurs de la menace utilisent l’hameçonnage en tant que service comme EvilProxy, NakedPages et Caffeine pour déployer des campagnes d’hameçonnage et obtenir des informations d’identification compromises, BulletProftLink offre une conception de passerelle décentralisée, qui comprend des nœuds de blockchain publique Internet Computer pour héberger des sites d’hameçonnage et de BEC, créant ainsi une offre web décentralisée encore plus sophistiquée qui est beaucoup plus difficile à perturber. La répartition de l’infrastructure de ces sites à travers la complexité et la croissance évolutive des blockchains publiques complique leur identification et l’alignement des actions de démantèlement. Bien que vous puissiez supprimer un lien d’hameçonnage, le contenu reste en ligne et les cybercriminels reviennent pour créer un lien vers le contenu CaaS existant.

Les attaques par BEC réussies coûtent aux organisations des centaines de millions de dollars par an. En 2022, l’équipe Recovery Asset Team du FBI a lancé le processus Financial Fraud Kill Chain pour 2 838 plaintes relatives à des transactions nationales impliquant des BEC et représentant des pertes potentielles de plus de 590 millions USD.

Bien que les implications financières soient importantes, les dommages à plus long terme peuvent inclure l’usurpation d’identité si des informations d’informations d’identification personnelle sont compromises, ou la perte de données confidentielles si de la correspondance sensible ou de la propriété intellectuelle sont exposées dans des courriels et des messages malveillants.

Bien que les acteurs de la menace aient créé des outils spécialisés pour faciliter la BEC, notamment des kits d’hameçonnage et des listes d’adresses de courriel vérifiées ciblant les cadres supérieurs, les responsables des comptes fournisseurs et d’autres rôles spécifiques, les entreprises peuvent employer des méthodes pour anticiper les attaques et atténuer les risques.

Par exemple, une politique Domain-based Message Authentication, Reporting, and Conformance (DMARC) de « rejet » offre la protection la plus forte contre les courriels falsifiés, en garantissant que les messages non authentifiés sont rejetés par le serveur de messagerie, avant même d’être livrés. En outre, les rapports DMARC permettent à une organisation d’être informée de la source d’une falsification apparente, information qu’elle ne recevrait pas normalement.

Même si les organisations gèrent depuis quelques années les employés hybrides ou travaillant à distance, il est toujours nécessaire de repenser la sensibilisation à la sécurité dans l’ère du travail hybride. Étant donné que les employés travaillent avec un plus grand nombre de fournisseurs et de sous-traitants, et qu’ils reçoivent donc plus de courriels « vus pour la première fois », il est impératif de savoir ce que ces changements dans les rythmes de travail et la correspondance signifient pour votre surface d’attaque.

Les tentatives de BEC des acteurs de la menace peuvent prendre de nombreuses formes : appels téléphoniques, SMS, courriels ou messages sur les réseaux sociaux. La falsification des messages de demande d’authentification et l’usurpation de l’identité de personnes ou d’entreprises sont également des tactiques courantes.

Une bonne première mesure défensive consiste à renforcer les politiques des services de comptabilité, de contrôle interne, de paie ou de ressources humaines sur la manière de répondre aux demandes ou aux notifications de changements concernant les instruments de paiement, les opérations ou les virements bancaires. Prendre du recul pour écarter les demandes qui ne respectent pas les politiques, ou contacter une entité requérante par l’intermédiaire de son site et de ses représentants légitimes, peut éviter aux organisations de subir des pertes considérables.

Les attaques par BEC sont un bon exemple de la raison pour laquelle le cyber-risque doit être abordé de manière transversale, avec les cadres et les dirigeants, les employés du service financier, les responsables des ressources humaines et les autres personnes ayant accès aux dossiers des employés tels que les numéros de sécurité sociale, les déclarations de revenus, les coordonnées et les plannings, aux côtés des responsables informatiques, de la conformité et du cyber-risque.