La société F-Secure a mis à jour la semaine dernière des campagnes de phishing/engineering social sur Linkedin, menées par des cybercriminels visant particulièrement des experts sécurité. Afin de recueillir un maximum d’informations sur des experts ciblés, les attaquants ont créé des faux comptes Linkedin invitant des experts sécurité à rejoindre leur réseaux.
Cette attaque d’ingénierie sociale mise en lumière par F-Secure nous rappelle que les réseaux sociaux sont une mine d’informations pour les cybercriminels. Le réseau Linkedin est particulièrement ciblé dans le cadre de social engineering car il permet aux cybercriminels de collecter et corréler un maximum d’informations professionnelles : qui sont les personnes en charge de la sécurité, en charge des finances, quels sont les outils IT et les applications métiers, les outils utilisés par l’entreprise, etc…
Les cybercriminels mènent des attaques de plus en plus ciblées pour franchir les systèmes de détection et investissent du temps dans le social engineering car cela leur permet de cibler très précisément les bonnes personnes dans le cadre d’attaques de spear phishing notamment, en leur envoyant des emails frauduleux très crédibles avec des pièces jointes vérolées, etc…
Au delà de Linkedin, ce sont évidemment tous les réseaux sociaux qui sont aujourd’hui ciblés. Sébastien Goutal, Chief Science Officer pour la société Vade Retro, spécialiste de la lutte anti-phishing, livre ci-dessous une analyse un peu plus détaillée sur les abus liés aux réseaux sociaux, les moyens à mettre en place et notamment une vraie coopération des grands acteurs internationaux comme c’est le cas avec le projet ThreatExchange de Facebook.
Surveiller en permanence les abus
La gestion des abus au sein des réseaux sociaux présente de nombreux défis. En effet, la capacité d’un réseau social à pouvoir diffuser rapidement de l’information à un grand nombre d’utilisateurs joue en faveur de l’attaquant. Il suffit de considérer les chiffres pour appréhender l’aspect potentiellement hautement viral d’une attaque, dans le cas par exemple d’un compte utilisateur compromis – vecteur classique d’une attaque. Facebook c’est 1.4 milliard d’utilisateurs actifs, plus de 200 friends en moyenne et une très grande réactivité de la communauté, en particulier via l’application mobile. En outre, la quantité considérable de données à traiter en temps réel pour détecter les menaces pose un véritable défi à tous les niveaux. Les infrastructures techniques sont très fortement sollicitées et de nombreux éléments statistiques sont calculés au fil de l’eau pour permettre une analyse pertinente et rapide du flux d’information. A ce titre, on se rappellera que les réseaux sociaux ont été à l’origine – et restent au cœur – de la révolution Big data.
Les réseaux sociaux sont encore jeunes
Un autre élément majeur concerne la jeunesse des réseaux sociaux, et le fait que ce soient des produits en évolution permanente: rien n’est pour l’instant gravé dans le marbre, ce qui donne une certaine marge de manœuvre. Par exemple, des évolutions produits mineures ont permis de réduire de manière importante les menaces: l’obligation de posséder un téléphone portable pour créer un compte est une solution simple et très efficace pour limiter la création de comptes frauduleux, car elle implique un coût économique important pour l’attaquant, alors que la gène pour l’utilisateur légitime est négligeable. La communication entre les équipes produits et sécurité est un élément capital dans la lutte contre les abus.
L’union fait la force
En matière de sécurité, l’union fait la force. La coopération entre les grands acteurs du monde numérique est donc cruciale pour lutter contre les abus. A ce titre mentionnons une initiative lancée par Facebook, le projet ThreatExchange: une plateforme permettant aux différents acteurs de l’écosystème numérique d’échanger des informations relatives aux menaces – telles que des URL ou des adresses IP suspectes. Un des points importants de cette plateforme est que chaque participant peut sélectionner qui sera destinataire de ces informations sensibles. En effet, qui souhaiterait partager des informations sensibles avec un concurrent? De nombreux acteurs importants tels que Bitly, Yahoo!, LinkedIn ou Twitter participent dores et déjà à cette excellente initiative.
Les menaces numériques sont en évolution constante. On les retrouve sous plusieurs formes, de l’email au sms, elles tentent désormais de tirer partie des réseaux sociaux. La lutte s’annonce acharnée, et les acteurs du monde numérique ont les moyens de réduire significativement ces menaces, en particulier en coopérant. L’avenir nous dira si ces mesures ont été efficaces.
A noter que l’équipe de Data Security Breach propose des ateliers de sensibilisations à la sécurité informatique en entreprise, associations, territoriales, … n’hésitez pas à nous contacter.
