Un appel téléphonique provenant du « support informatique » est en train de devenir l’une des menaces d’ingénierie sociale les plus coûteuses auxquelles Wall Street est actuellement confrontée. Selon un nouveau rapport de sécurité de Google, une vague coordonnée de cyberattaques contre des sociétés financières a frappé certaines des plus grandes sociétés de capital-investissement et d’investissement aux États-Unis, des pirates utilisant des appels téléphoniques à l’ancienne plutôt que des logiciels malveillants sophistiqués pour pénétrer les réseaux d’entreprise et voler des données sensibles à des fins d’extorsion.
Summary
Points clés à retenir
- Google a identifié quatre groupes de pirates — Falcon, Helix, Pink et Redact — utilisant des appels de hameçonnage vocal pour compromettre des sociétés financières américaines.
- Les cibles incluraient notamment Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s et TPG, selon Reuters.
- Google suit cette activité sous un collectif plus large appelé UNC6671, bien qu’il ne soit pas clair si les groupes sont des affiliés ou des opérateurs indépendants.
- Les demandes de rançon vont généralement de 750 000 $ à 3 millions de dollars, et un portefeuille lié à la campagne a reçu environ 10 millions de dollars en bitcoin cette année.
Attaques de hameçonnage vocal visant les sociétés financières américaines
Des pirates inconnus s’introduisent dans de grandes sociétés financières et d’investissement à travers le pays avec un objectif clair : voler des données d’entreprise sensibles qu’ils pourront ensuite utiliser pour extorquer les victimes en menaçant de les publier. Les chercheurs en sécurité de Google ont détaillé la campagne dans un rapport publié jeudi, décrivant un schéma d’attaques qui repose sur l’erreur humaine plutôt que sur l’exploitation de failles logicielles.
La technique au cœur de cette campagne est connue dans le secteur sous le nom de hameçonnage vocal, ou vishing. Il s’agit d’une arnaque vieille de plusieurs décennies, remise au goût du jour pour un environnement d’entreprise moderne, et qui semble bien fonctionner contre des employés qui supposent qu’un appel téléphonique est plus sûr qu’un e-mail suspect.
Techniques d’usurpation d’identité utilisées dans le vishing
Les attaquants appellent les téléphones portables personnels des employés et se font passer pour des collègues ou pour le support informatique interne. Au cours de ces appels, ils tentent de guider la cible pour qu’elle saisisse ses identifiants de connexion et ses codes d’authentification multifacteur sur des sites web conçus pour ressembler à des portails légitimes de l’entreprise. Une fois que ces identifiants tombent entre de mauvaises mains, les pirates obtiennent l’accès dont ils ont besoin pour s’enfoncer plus profondément dans les systèmes de la société.
Cela est important car l’authentification multifacteur est largement considérée comme un filet de sécurité en matière de sécurité. Lorsqu’une personne est amenée à taper un code à usage unique sur une fausse page en temps réel, ce filet de sécurité disparaît effectivement — aucun pare-feu ni outil antivirus ne peut empêcher une décision prise par un employé confiant au téléphone.
Principales sociétés financières touchées
Google n’a nommé publiquement aucune victime dans son rapport. Reuters a toutefois indiqué que la liste des organisations ciblées comprend plusieurs des plus grands noms du capital-investissement et des services financiers : Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s et TPG. Laurie Bischel, porte-parole de CME Group, a refusé de commenter lorsqu’on l’a interrogée sur ces informations. Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, KKR, Moody’s et TPG n’ont pas répondu aux demandes de commentaires.
Stratégies d’extorsion et exigences financières
Une fois à l’intérieur d’un réseau, les pirates ne se contentent pas de voler des données discrètement — plusieurs des groupes gèrent des sites d’extorsion publics conçus pour faire pression sur les victimes afin qu’elles paient rapidement. Il s’agit d’une tactique bien rodée parmi les groupes cybercriminels, mais son utilisation contre des institutions financières de premier plan augmente considérablement les enjeux, compte tenu de la sensibilité des informations liées aux transactions que ces sociétés détiennent.
Sites web publics d’extorsion et menaces
Selon Google, certains des groupes identifiés exploitent des sites de fuite dédiés où ils rendent publiques les violations et menacent de divulguer les fichiers volés à moins qu’une rançon ne soit payée. L’un de ces sites contenait un texte présentant l’extorsion presque comme une négociation commerciale : « Nous menons chaque négociation sur des bases professionnelles. La publication de vos données n’est jamais notre résolution préférée ; elle est la conséquence d’un refus de dialoguer, d’un blocage délibéré ou d’un manquement à honorer un accord », pouvait-on lire dans le message, ajoutant : « Répondez rapidement et de bonne foi, et l’affaire est réglée sans autre incident. »
Demandes de rançon et paiements en cryptomonnaies
Les sommes en jeu sont considérables. Les chercheurs de Google ont indiqué que les pirates exigent généralement entre 750 000 $ et 3 millions de dollars de chaque victime. Dans un chiffre particulièrement frappant, un portefeuille de cryptomonnaie lié à l’un des groupes de pirates a reçu environ 10 millions de dollars en bitcoin au cours des premiers mois de cette année seulement — un chiffre qui suggère que la campagne a déjà été très lucrative pour ceux qui la mènent.
Coordination entre les groupes de pirates sous UNC6671
Les chercheurs de Google estiment que les quatre groupes nommés n’opèrent peut-être pas de manière isolée. Ils pourraient plutôt représenter différentes facettes d’un seul et même réseau plus vaste, conçu pour masquer la véritable ampleur de l’opération.
Groupes de pirates identifiés et affiliations possibles
Google a baptisé les quatre groupes Falcon, Helix, Pink et Redact, et affirme qu’ils pourraient tous relever d’une bannière plus large que l’entreprise suit en interne sous le nom de UNC6671. Ce qui reste flou, c’est la nature exacte de leur relation — s’il s’agit d’affiliés formels, de groupes dissidents issus d’une origine commune, ou simplement d’opérateurs distincts s’appuyant sur la même infrastructure de hameçonnage en tant que service. « Nous pensons qu’il s’agit très probablement d’un groupe coordonné d’acteurs malveillants exploitant plusieurs marques publiques d’extorsion, peut-être dans le but de compartimenter les opérations, de dissimuler le volume global des violations et d’isoler les répercussions des négociations », indique le rapport de Google.
Motivations stratégiques et sélection des cibles
Cette campagne n’a pas commencé avec le capital-investissement. Google indique que les mêmes groupes se sont auparavant attaqués à de grandes entreprises des secteurs de la fabrication, de l’immobilier, de la santé, de l’assurance, de la technologie, des transports et de l’hôtellerie, à la recherche de « propriété intellectuelle de grande valeur, de code source logiciel ou de données sensibles de clients VIP ».
Le pivot vers les organisations juridiques et financières, y compris les sociétés de capital-investissement, semble délibéré. Les chercheurs de Google ont noté que « se concentrer sur des organisations impliquées dans les fusions, acquisitions, déploiements de capitaux et litiges peut refléter une stratégie visant à cibler des données d’entreprise et confidentielles de grande valeur afin de maximiser l’effet de levier des demandes d’extorsion ». En d’autres termes, les pirates semblent rechercher le type d’informations — conditions de transactions, stratégie de contentieux, dossiers sensibles de clients — pour lesquelles les sociétés sont prêtes à payer cher afin d’éviter qu’elles ne deviennent publiques.
Pour un secteur fondé sur la confidentialité et la confiance, cette logique de ciblage constitue le véritable signal d’alarme. Il ne s’agit pas seulement d’une violation ou d’un paiement ; c’est le signe que les attaquants ont identifié le capital-investissement et les services financiers comme un terrain fertile précisément parce que le coût d’une exposition, pour ces sociétés, est bien plus élevé que le montant de la rançon elle-même.
FAQ
Comment les pirates obtiennent-ils les identifiants des employés dans ces attaques ?
Les pirates passent des appels téléphoniques en se faisant passer pour des collègues ou pour le support informatique afin de tromper les employés et de les amener à saisir leurs identifiants sur des sites web usurpés.
Quelles sociétés financières ont été ciblées par ces attaques de hameçonnage vocal ?
Les sociétés ciblées incluraient notamment Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s et TPG.
Quelles tactiques d’extorsion les pirates utilisent-ils après le vol de données ?
Certains groupes gèrent des sites web qui menacent de publier les données volées à moins que les victimes ne paient une rançon.
Quelles sont les demandes de rançon typiques formulées par ces groupes de pirates ?
Les demandes de rançon se situent généralement entre 750 000 $ et 3 millions de dollars.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Comment les pirates obtiennent-ils les identifiants des employés dans ces attaques ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les pirates passent des appels téléphoniques en se faisant passer pour des collègues ou pour le support informatique afin de tromper les employés et de les amener à saisir leurs identifiants sur des sites web usurpés. »}},{« @type »: »Question », »name »: »Quelles sociétés financières ont été ciblées par ces attaques de hameçonnage vocal ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les sociétés ciblées incluraient notamment Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody’s et TPG. »}},{« @type »: »Question », »name »: »Quelles tactiques d’extorsion les pirates utilisent-ils après le vol de données ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Certains groupes gèrent des sites web qui menacent de publier les données volées à moins que les victimes ne paient une rançon. »}},{« @type »: »Question », »name »: »Quelles sont les demandes de rançon typiques formulées par ces groupes de pirates ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les demandes de rançon se situent généralement entre 750 000 $ et 3 millions de dollars. »}}]}
Article produit avec l’aide de l’intelligence artificielle et relu par l’équipe éditoriale.
