Brèches de Domino : Arrêtez la chute des dominos

Cet article détaille les mesures à prendre immédiatement en cas d'attaque de ce type… que j'ai surnommée « attaque domino ». Cette attaque se déroule en plusieurs phases que les pirates exploitent successivement. Interrompez la séquence le plus tôt possible grâce à des mesures d'évitement et à une formation efficace de vos employés à l'aide d'outils comme CyberHoot pour les aider à repérer les attaques de phishing et à protéger scrupuleusement leurs mots de passe ! Si vous souhaitez former vos employés, consultez le site web de formation CyberHoot.com et nous vous mettrons en relation avec l'un de nos revendeurs.

Phase 1 de la « brèche en domino » :

Un client, Finance@IronCladCookware.com, a reçu un courriel d'un fournisseur avec lequel il collabore régulièrement, lui demandant de vérifier une facture protégée par mot de passe sur Google Docs, Dropbox ou un autre service en ligne. Bien que la demande soit inhabituelle, il s'agissait d'un fournisseur important avec lequel nous travaillons régulièrement, nous avons donc accédé à sa requête. Nous avons alors découvert que le domaine de messagerie du fournisseur comportait une erreur d'une seule lettre (par exemple : un courriel de Twirlstool.com pouvait provenir de Twrlstool.com, avec un « i » manquant). Le site web auquel nous nous sommes connectés a dérobé l'identifiant et le mot de passe d'un de nos employés. Les pirates informatiques ont ensuite analysé chaque dossier de la boîte mail compromise de notre entreprise à la recherche de chaque adresse électronique unique.

Phase 2 : Le deuxième domino tombe (un nom de domaine similaire est enregistré)

Dans la capture d'écran ci-dessous, les pirates ont enregistré aujourd'hui un nom de domaine similaire à utiliser dans la phase 3. Ce domaine ressemble beaucoup à celui de l'entreprise ciblée et sera utilisé comme base pour ces attaques.

Phase 3 : Le troisième domino : Exploiter les relations de confiance

Le pirate conçoit ensuite divers courriels anodins mais efficaces, destinés à exploiter la relation de confiance que vous entretenez avec vos fournisseurs, clients, famille et amis, en les envoyant depuis une adresse courriel usurpée. Dans cet exemple fictif : Finance@IroncldCookware.com est utilisé à la place de Finance@IroncladCookware.com pour envoyer des courriels visant à voler des identifiants de connexion aux adresses courriel du compte initialement compromis chez IroncladCookware.com. L’efficacité de cette attaque repose sur le fait que le nom de l’expéditeur est très probablement reconnu et accepté par le destinataire comme celui d’un utilisateur légitime. Cette confiance implicite augmente les chances de succès du message malveillant.

Phase 4 : Plusieurs dominos commencent à tomber sur vos contacts

Les pirates ne s'arrêteront pas là. Que les piratages de comptes de messagerie commencent… la plupart des gens cliquent rapidement sur un e-mail similaire provenant d'une personne qu'ils connaissent sans hésiter. Moins nombreux sont ceux qui fourniront leurs identifiants pour consulter une facture, un solde impayé ou toute autre transaction financière plausible… conduisant à un nombre croissant d'entreprises piratées et ciblées. C'est ce qu'on appelle l'effet Domino.

Comment réagir à cette violation au sein de votre entreprise :

Voici quelques conseils pratiques pour vous protéger et éviter les dominos lorsque votre entreprise participe à l'un de ces événements !

Étape 1 : Rédigez un e-mail de réponse rapide et envoyez-le immédiatement à tous les contacts pour les informer du faux domaine et des attaques ciblées.

Étape 2 : recherchez le fournisseur d’accès Internet du nom de domaine nouvellement enregistré et envoyez une plainte pour abus concernant une attaque de phishing provenant d’un nom de domaine similaire et demandez qu’il soit immédiatement supprimé.

Le temps est un facteur essentiel. Dans le monde réel, dès qu'un domaine similaire est enregistré et prêt à être utilisé, les e-mails d'attaque commencent à affluer vers tous vos fournisseurs, clients, amis et famille. L'effet domino commence à tomber lorsque les personnes qui vous font confiance cliquent sur la fausse facture ou la fausse demande de connexion et se retrouvent compromises.

Envoyer cette note d’avertissement à toutes les personnes auxquelles vous pouvez penser est une première étape cruciale et urgente.

Comment éviter que cette violation n'affecte votre entreprise pour commencer

Les autres mesures doivent être prises par ordre croissant de niveau de protection. Toutes ne sont pas payantes. Certaines sont extrêmement efficaces (comme celles du MFA ).

Protection de base:

1. Activez l'authentification multifacteur (MFA, également appelée authentification à deux facteurs) sur tous vos comptes de messagerie au sein de votre domaine (cela empêche la messagerie de vos utilisateurs d'être compromise s'ils tombent dans le piège de cette attaque et donnent leurs informations d'identification à un pirate informatique).
2. Formez vos utilisateurs à être vigilants en regardant le nom de l’expéditeur des e-mails et les noms de domaine.
3. Testez vos utilisateurs avec des e-mails de phishing de manière aléatoire et régulière.
4. Gérez vos utilisateurs avec des politiques qui décrivent les exigences en matière de formation, de gestion des informations, de gestion des appareils mobiles et bien plus encore.

Protection renforcée :

• Établissez des politiques et des processus de protection financière exigeant une confirmation verbale par téléphone de toutes les instructions ACH et virement bancaire. Les instructions modifiées ne peuvent jamais être acceptées par e-mail.
• Assurez-vous d'utiliser un filtre anti-spam spécialement conçu pour examiner les e-mails et bloquer les SPAM comme celui-ci lorsqu'ils sont conçus pour violer les informations d'identification.

Protection avancée :

• Si possible, activez les filtres de messagerie suivants (selon le fournisseur de SPAM) :
  • Blocs de domaines similaires (conserver les e-mails provenant de noms de domaine présentant 3 lettres ou moins de différences avec votre nom de domaine) ;
  • Rejeter les e-mails provenant de domaines datant de moins de N jours:où N est généralement inférieur à 2 semaines ou 14 jours mais peut atteindre 30 à 45 jours.
  • Rejeter les e-mails envoyés depuis des pays étrangers: Si votre entreprise ne traite qu'avec des fournisseurs et des clients nord-américains, bloquez les e-mails provenant de n'importe où ailleurs dans le monde.

Appel à l'action:

Une protection de base est essentielle pour toutes les entreprises. Contactez CyberHoot dès aujourd'hui pour être mis en relation avec un revendeur qui formera vos employés à se prémunir contre l'attaque en domino. Mieux vaut prévenir que guérir. Pour savoir comment se protéger contre les menaces similaires via le piratage de messagerie, cliquez ici.

Comment récupérer les données d'un compte de messagerie piraté ?

Suivez ces instructions de CyberHoot pour récupérer votre compte de messagerie piraté.

Craig, cofondateur – CyberHoot