Archives de catégorie : Cybersécurité

Actualités liées à la CyberSecurité.

Bitcoin, Cybersécurité

Une attaque SIM-swap bouleverse le marché des cryptomonnaies

Janvier 2024, un incident majeur secoue le monde de la cryptomonnaie. La page officielle de la Securities and Exchange Commission (SEC) américaine sur le réseau social x a été la cible d’une attaque de type SIM-swap. ce type d’attaque, bien connu dans l’univers du piratage, permet à des cybercriminels de prendre le contrôle d’un numéro de téléphone en le transférant sur un autre appareil. Dans ce cas précis, les attaquants ont réussi à accéder au compte de la SEC, et ont publié un faux message qui allait perturber le marché du bitcoin de manière significative.

Avant d’analyser les détails de cette attaque, il est important de comprendre le fonctionnement d’une attaque SIM-swap. le principe est relativement simple : les cybercriminels ciblent les services de télécommunications pour rediriger un numéro de téléphone vers une nouvelle carte SIM en prétendant être le véritable propriétaire. une fois le contrôle obtenu, ils peuvent contourner les systèmes d’authentification, en particulier ceux reposant sur des SMS pour l’authentification à deux facteurs (2FA). Dans le cas de la SEC, l’authentification à deux facteurs n’était pas activée, ce qui a facilité l’accès des hackers au compte officiel sur le réseau social x. cette faille de sécurité a permis aux attaquants de publier un message prétendant que la SEC venait d’approuver un bitcoin-ETF, ce qui a déclenché une série de réactions sur le marché.

Le faux message qui sème la panique

Une fois aux commandes du compte officiel de la SEC, les pirates ont publié un faux message qui annonçait l’approbation d’un ETF bitcoin (un fonds indiciel coté permettant d’investir sur le bitcoin via la bourse). l’annonce d’un bitcoin-ETF est un événement très attendu par les investisseurs et les spéculateurs, car cela signifierait une étape majeure pour l’adoption légale de la cryptomonnaie. Le faux tweet a immédiatement provoqué une flambée du prix du bitcoin. les spéculateurs, voyant cette « information » relayée par un compte officiel aussi influent que celui de la SEC, ont rapidement investi dans la cryptomonnaie, ce qui a fait grimper sa valeur jusqu’à un sommet de 48 000 dollars en quelques minutes. c’est un bond spectaculaire pour une cryptomonnaie qui est soumise à de fortes fluctuations de prix.

Malheureusement, la hausse soudaine du prix du bitcoin ne fut que de courte durée. peu de temps après la publication du tweet, la SEC a réagi en déclarant que le message était faux et que leur compte avait été piraté. cette déclaration a provoqué un renversement brutal du marché : la valeur du bitcoin a chuté aussi vite qu’elle avait grimpé, créant un véritable effet de yo-yo. La chute brutale a provoqué des liquidations massives sur les marchés de la cryptomonnaie. environ 230 millions de dollars ont été liquidés, ce qui signifie que de nombreux investisseurs ont perdu d’importantes sommes d’argent. les traders utilisant des effets de levier ont été particulièrement affectés, car ils se sont retrouvés dans l’incapacité de maintenir leurs positions à cause des fluctuations soudaines. cette volatilité, alimentée par la publication d’une fausse information, a révélé à quel point le marché des cryptomonnaies peut être sensible à des manipulations externes, même lorsqu’elles sont brèves.

Comment une faille de sécurité a pu permettre une telle attaque

L’une des questions centrales qui ressort de cet incident est : comment une organisation aussi influente que la SEC a-t-elle pu être vulnérable à une attaque SIM-swap ? la réponse réside dans une série de manquements au niveau de la sécurité du compte sur x. Le plus préoccupant a été la désactivation de l’authentification à deux facteurs. en temps normal, l’authentification à deux facteurs ajoute une couche supplémentaire de sécurité en exigeant non seulement un mot de passe, mais aussi un code envoyé par SMS ou généré par une application. or, dans ce cas, cette fonctionnalité était désactivée, rendant l’accès au compte plus facile pour les pirates. De plus, l’attaque a ciblé le fournisseur de télécommunications de la SEC. les attaquants ont réussi à convaincre l’opérateur de transférer le numéro de téléphone associé au compte x vers un autre appareil, probablement en se faisant passer pour un employé de la SEC ou en utilisant des informations volées. cela a permis aux pirates de contourner les mesures de sécurité traditionnelles, comme la réinitialisation de mot de passe via un code envoyé par SMS.

Les répercussions de l’attaque et la réponse des autorités

La SEC, après avoir pris conscience de l’incident, a réagi rapidement en rétablissant l’authentification à deux facteurs sur ses comptes et en renforçant ses mesures de sécurité. mais l’impact de l’attaque a mis en lumière des vulnérabilités dans la gestion des comptes de réseaux sociaux par les grandes institutions. il est désormais clair que la désactivation de certaines fonctionnalités de sécurité peut avoir des conséquences dramatiques, en particulier dans un contexte où des millions d’investisseurs surveillent activement les annonces de la SEC. Les autorités américaines, dont le FBI et le département de la sécurité intérieure, ont également pris l’incident au sérieux. une enquête a été ouverte pour identifier les responsables de l’attaque et comprendre comment les pirates ont réussi à obtenir le contrôle du compte de la SEC.

Quelques semaines après l’attaque, le FBI a annoncé l’arrestation de l’auteur du piratage. les détails sur la façon dont l’arrestation a été effectuée restent confidentiels. Cet incident est un rappel de l’importance des mesures de sécurité en ligne, en particulier pour les entreprises et institutions qui gèrent des comptes à haute visibilité.

Cybersécurité, Entreprise

Piratage chez MediCheck : des données médicales sensibles divulguées par le groupe Killsec

Un nouvel épisode de cyberattaque par ransomware frappe durement la Belgique. Le groupe de hackers Killsec a publié plus de 50 000 documents contenant des informations médicales sensibles sur des patients belges.

Ces données ont été dérobées après une intrusion en ligne dans les systèmes de MediCheck, une entreprise spécialisée dans les contrôles médicaux pour des entreprises comme bpost, H&M, et Lidl. La fuite concerne des informations telles que les noms et adresses des patients, des médecins-contrôles, ainsi que des données sur les symptômes médicaux et les médicaments prescrits.

Les pirates du groupe Killsec ont initialement exigé une rançon pour éviter la publication de ces documents. Bien que MediCheck ait d’abord affirmé ne pas vouloir entrer en contact avec les hackers, des négociations ont finalement eu lieu. Ces discussions n’ont pas abouti, et, en conséquence, toutes les données dérobées ont été publiées sur le dark web. Ces informations incluent des données confidentielles concernant l’absentéisme justifié ou non des employés, ce qui soulève des inquiétudes majeures quant à la vie privée et la confidentialité des dossiers médicaux en Belgique.

L’impact de la fuite et la réaction de MediCheck

Cette fuite de données compromet sérieusement la sécurité des informations médicales en Belgique. Dina De Haeck, CEO de MediCheck, a reconnu la gravité de l’incident en affirmant que son entreprise avait « beaucoup appris » de ce piratage. Depuis l’attaque, MediCheck a renforcé ses mesures de sécurité en collaboration avec le Centre pour la cybersécurité Belgique et a annoncé la mise en place d’un audit de sécurité trimestriel. Malgré le silence qui a entouré l’entreprise après l’incident, MediCheck prévoit de relancer ses activités la semaine prochaine, après avoir renforcé ses systèmes.

Le précédent avec Penbox

Il est important de noter que ce n’est pas la première fois que Killsec s’attaque à une entreprise belge. Le mois dernier, le groupe avait dérobé des données à Penbox, une autre entreprise belge. Toutefois, Penbox avait réussi à éviter la divulgation de ces informations en payant une rançon pour récupérer les données volées. Cette affaire montre que Killsec continue d’exploiter des failles dans les systèmes de sécurité des entreprises, renforçant ainsi l’importance de mesures de cybersécurité accrues pour prévenir de telles attaques. (Le Vif)

Bitcoin, Cybersécurité, Entreprise

Ça pirate à tout-va dans le monde de la cryptomonnaie.

Une série d’attaques majeures secoue l’écosystème des crypto-monnaies et des services financiers

Ces dernières semaines, l’écosystème des crypto-monnaies et des services financiers a été frappé par une série d’attaques massives, affectant plusieurs plateformes de premier plan à travers le monde. Indodax, BingX, Truflation et MoneyGram figurent parmi les victimes les plus marquantes de ces incidents de cybersécurité, qui ont entraîné des pertes cumulées de plusieurs millions de dollars. Ces événements soulignent la vulnérabilité des systèmes numériques et la nécessité croissante de renforcer la sécurité dans l’univers des actifs numériques et des services financiers en ligne.

L’attaque contre Indodax : plus de 22 millions de dollars en crypto-monnaies volés

Le 10 septembre 2024, l’échange de crypto-monnaies Indodax, basé en Indonésie, a été frappé par une cyberattaque qui a conduit au vol de plus de 22 millions de dollars en divers jetons numériques. Selon des rapports publiés par les experts en cybersécurité de Slowmist et CertiK, l’attaque a ciblé les portefeuilles chauds de la plateforme – ces portefeuilles qui sont connectés en permanence à Internet pour permettre un accès rapide aux fonds et aux transactions. Bien que cette fonctionnalité soit essentielle pour faciliter l’expérience utilisateur, elle présente également des risques accrus de vulnérabilité face aux cyberattaques.

Plus de 14 millions de dollars en Ethereum (ETH)
2,4 millions de dollars en Tron (TRX)
1,4 million de dollars dans d’autres actifs cryptographiques

L’attaque contre Indodax est l’une des plus importantes en termes de montant dérobé cette année. Elle a jeté un froid sur l’industrie des crypto-monnaies, suscitant des inquiétudes quant à la sécurité des actifs détenus sur les plateformes d’échange. Bien que la société ait immédiatement pris des mesures pour renforcer ses mesures de sécurité et protéger les fonds restants, cet incident met en lumière les failles persistantes dans les systèmes de sécurité des portefeuilles chauds.

BingX : une perte colossale de plus de 44 millions de dollars

À peine quelques jours après l’attaque contre Indodax, un autre échange de crypto-monnaies majeur a été ciblé. BingX, une plateforme de crypto-monnaies basée à Singapour, a révélé avoir subi une cyberattaque qui a entraîné la perte de plus de 44 millions de dollars en actifs numériques.

L’attaque a été découverte après que les spécialistes en sécurité de la blockchain ont commencé à enregistrer des retraits anormalement élevés sur la plateforme. En réponse, BingX a suspendu temporairement ses opérations, expliquant qu’il s’agissait d’une « maintenance du portefeuille ». Cependant, l’entreprise a rapidement confirmé que cette suspension était en réalité due à la détection d’un accès réseau anormal, ce qui a mis en lumière la gravité de la situation.

La suspension des travaux et des transactions a généré une onde de choc parmi les utilisateurs de la plateforme, soulevant des questions sur la sécurité des fonds déposés. À ce jour, BingX n’a pas encore fourni de détails sur la manière dont l’attaque a été menée, ni sur la manière dont l’entreprise prévoit de compenser les pertes subies. Cependant, cette attaque est l’une des plus importantes survenues cette année en termes de pertes financières.

Truflation : une attaque ciblant la trésorerie et les portefeuilles personnels

Le 25 septembre 2024, une nouvelle attaque a secoué la sphère des crypto-monnaies. Cette fois, c’est Truflation, une plateforme blockchain spécialisée dans la fourniture de données financières, qui a été prise pour cible. Selon des informations partagées par le chercheur en sécurité blockchain ZachXBT, environ 5 millions de dollars ont été volés au cours de cette attaque, principalement à partir de la trésorerie de la plateforme et des portefeuilles personnels de certains de ses membres.

L’incident a été détecté lorsque Truflation a observé des activités anormales sur ses systèmes, indiquant un accès non autorisé à ses fonds. Les hackers semblent avoir utilisé des techniques avancées pour contourner les mesures de sécurité de la plateforme et s’approprier les actifs cryptographiques. Truflation a rapidement réagi en renforçant ses contrôles de sécurité, mais l’incident montre à quel point même les projets les plus réputés peuvent être vulnérables.

Ce type d’attaque soulève des préoccupations importantes quant à la protection des fonds au sein des plateformes décentralisées, et met en avant l’importance de systèmes de sécurité encore plus robustes, particulièrement lorsqu’il s’agit de protéger des trésoreries conséquentes.

MoneyGram : perturbation majeure des services de transfert d’argent

Le secteur financier traditionnel n’a pas été épargné par cette vague d’attaques. Le 20 septembre 2024, MoneyGram, un géant des services de transfert d’argent, a suspendu l’ensemble de ses opérations en raison d’un cyber-incident d’envergure. Les services en ligne et hors ligne de MoneyGram ont cessé de fonctionner, plongeant ses millions d’utilisateurs dans l’incertitude.

Le 22 septembre, MoneyGram a confirmé que cette suspension était la conséquence directe d’une cyberattaque ayant compromis les données personnelles de ses clients ainsi que des informations sur leurs transactions. Bien que la société ait indiqué qu’elle enquêtait sur l’incident, elle n’a pas encore fourni de détails quant au nombre exact d’utilisateurs touchés ni à l’ampleur des données compromises.

L’impact de cette attaque est profond. MoneyGram, étant un acteur majeur dans le secteur des transferts d’argent, dessert des millions de personnes à travers le monde. La perturbation de ses services pendant plusieurs jours a non seulement affecté des transactions financières cruciales, mais a également semé le doute sur la capacité de l’entreprise à protéger les données sensibles de ses utilisateurs. Bien que le système soit progressivement remis en ligne, la réputation de MoneyGram pourrait être durablement affectée par cet incident.

Ces attaques successives montrent clairement que l’ère numérique, et en particulier le secteur des crypto-monnaies, reste une cible privilégiée pour les cybercriminels. Les attaques contre Indodax, BingX, Truflation, et MoneyGram mettent en lumière la sophistication croissante des menaces auxquelles ces plateformes doivent faire face.

Bitcoin, Cybersécurité

Telegram : les transactions crypto dans la ligne de mire

Telegram vient d’ajouter une nouveauté dans sa FAQ qui ne plaira pas aux pirates !

Depuis l’arrestation en août 2024 de Pavel Durov, cofondateur de Telegram, les groupes de pirates sur la plateforme sont en panique. La FAQ de Telegram précise désormais que l’application Wallet, utilisée pour les transactions en cryptomonnaies, est prête à divulguer les informations des utilisateurs aux forces de l’ordre.

Bien que Telegram ne gère pas directement Wallet, cette mise à jour de la politique de confidentialité intervient après l’arrestation de Durov et signale un changement dans la gestion de l’anonymat pour les transactions effectuées via la plateforme.

Cybersécurité, Entreprise

Anti-spoofing d’entreprise : Apple sonne la fin du « game » ?

Une nouvelle fonctionnalité pour les utilisateurs Apple permet de distinguer un appel d’une véritable entreprise du spam et des arnaques.

Apple va mettre en place, dans quelques semaines, une option dédiée à contrer les escroqueries et les tentatives d’usurpation d’identité des entreprises. Les sociétés vérifiées via l’option « Business Caller ID » pourront afficher leur logo, leur nom et leur service directement sur l’écran d’appel des appareils Apple. Toute entreprise vérifiée peut s’inscrire sur Apple Business Connect, sans que la taille, l’emplacement géographique ou la présence d’un bureau ne soient des facteurs limitants. La vérification est basée sur l’identifiant Apple.
Le lancement de cette nouvelle fonctionnalité est prévu pour 2025.

Banque, Cybersécurité, loi

Fausse musique et hack de streaming pour 10 millions de dollars !

Les autorités américaines ont récemment inculpé Michael Smith, 52 ans, pour avoir orchestré une fraude aux services de streaming d’une valeur de plus de 10 millions de dollars. Smith aurait utilisé des technologies d’intelligence artificielle (IA) pour générer des centaines de milliers de chansons et les diffuser via des plateformes telles que Spotify, Apple Music, YouTube Music et Amazon Music.

Smith fait face à plusieurs chefs d’accusation, notamment fraude électronique, complot en vue de commettre une fraude électronique et blanchiment d’argent. Chaque accusation pourrait entraîner jusqu’à 20 ans de prison s’il est reconnu coupable. En plus de produire de la musique via IA, Smith aurait manipulé le nombre d’écoutes à l’aide de robots, ce qui lui a permis de percevoir des redevances frauduleuses sur les diffusions.

Selon les autorités, cette fraude aurait duré de 2017 à 2024. Smith aurait utilisé des milliers de comptes fictifs créés à partir d’adresses électroniques achetées pour mettre en œuvre son stratagème. À l’aide d’un logiciel développé en interne, il diffusait en continu ses propres compositions générées par IA, en imitant l’activité de véritables utilisateurs répartis dans plusieurs régions afin de ne pas éveiller les soupçons.

Pour rendre son opération plus crédible et passer sous le radar des plateformes de streaming, Smith a mis en place une stratégie méticuleuse. Il veillait à ne jamais diffuser un morceau trop de fois et choisissait soigneusement des noms d’artistes et de chansons générés par IA afin qu’ils se fondent dans la masse des véritables groupes musicaux. Parmi les exemples cités, des artistes fictifs comme Callous Post et Calorie Screams ont vu leurs morceaux, aux titres étranges tels que Zygotic Washstands et Zymotechnical, inonder les plateformes de streaming.

Les documents d’enquête révèlent que Smith avait commencé en téléchargeant ses propres compositions originales sur les services de streaming, mais ses revenus modestes l’ont incité à passer à la musique générée par IA. En 2018, il s’est associé à un dirigeant anonyme d’une société spécialisée en musique IA et à un promoteur de musique pour créer une vaste bibliothèque de contenu musical produit artificiellement. Bien que les documents judiciaires ne détaillent pas précisément la technologie utilisée pour générer ces morceaux, il est clair que Smith a exploité la flexibilité et la rapidité de production de l’IA pour contourner les systèmes de détection de fraude.

Des millions d’écoutes et des millions de dollars

Le stratagème s’est avéré extrêmement lucratif. Dans des messages internes, Smith a affirmé qu’il pouvait diffuser ses morceaux jusqu’à 661 440 fois par jour, générant ainsi potentiellement 3 307,20 dollars quotidiennement, soit environ 1,2 million de dollars par an. Au plus fort de son activité, Smith contrôlait plus de 1 000 comptes automatisés, chacun hébergeant plusieurs bots destinés à augmenter artificiellement les écoutes de ses morceaux.

En juin 2019, Smith gagnait environ 110 000 dollars par mois, partageant une partie de ces revenus avec ses complices. En 2023, il se vantait d’avoir accumulé 4 milliards de streams et récolté un total de 12 millions de dollars de royalties depuis 2019. Smith a réussi à tromper les services de streaming pendant plusieurs années en manipulant leurs algorithmes et en exploitant les failles de leurs systèmes de surveillance. Cependant, en 2018, lorsque qu’une société de distribution de musique a commencé à signaler des abus dans l’industrie du streaming, Smith a nié toute implication, affirmant qu’il n’y avait « absolument aucune fraude ».

Le procureur Damian Williams a condamné les actions de Smith, déclarant que son stratagème frauduleux lui avait permis de percevoir des millions de dollars de redevances qui auraient dû revenir aux musiciens, auteurs-compositeurs et détenteurs de droits d’auteur légitimes. Un détournement des ressources et des revenus des artistes et créateurs respectant les règles du jeu.

Cybersécurité, double authentification, Entreprise

Remplacer les mots de passe tous les mois ? Plus utile selon le NIST

La sécurité des mots de passe reste un enjeu majeur dans la protection des systèmes numériques et des données sensibles. Le guide du NIST, « Special Publication 800-63B », aborde en détail les pratiques à suivre pour garantir une gestion et une utilisation des mots de passe conformes aux normes de sécurité modernes.

Le National Institute of Standards and Technology (NIST) est l’autorité fédérale américaine. Sa mission, mettre en place des normes technologiques qui s’appliquent aux entreprises américaines. Ses recommandations dépassent les frontière et font, la plupart du temps, référence à l’échelle mondiale. Le guide SP 800-63B du National Institute of Standards and Technology place l’authentification au cœur de la protection des systèmes d’information avec quelque chamboulement. Le NIST rappelle que l’authentification est subdivisée en trois niveaux d’assurance, appelés AAL (Authentication Assurance Levels), qui varient en fonction du niveau de sécurité nécessaire :

AAL1 : Authentification à faible niveau d’assurance, généralement un mot de passe seul.
AAL2 : Authentification nécessitant au moins deux facteurs (par exemple, mot de passe et un facteur physique comme un smartphone ou une clé de sécurité).
AAL3 : Authentification à très haut niveau d’assurance, requérant des méthodes robustes et cryptographiquement sécurisées.

L’un des aspects critiques du SP 800-63B concerne la gestion des mots de passe à tous les niveaux d’authentification.

Traditionnellement, les politiques de sécurité exigeaient des mots de passe complexes, avec des règles telles que l’obligation d’inclure des caractères spéciaux, des chiffres et des majuscules. Le NIST recommande un changement d’approche radical. Plutôt que de forcer la complexité, le guide encourage à privilégier des mots de passe plus longs (au moins 8 caractères) qui sont plus faciles à retenir pour les utilisateurs mais plus difficiles à deviner pour les attaquants. Les mots de passe de 64 caractères ou plus sont autorisés, et les restrictions de complexité doivent être minimisées pour encourager l’utilisation de phrases de passe.

Une autre recommandation du NIST consiste à abandonner les politiques de changement de mot de passe régulier, qui peuvent avoir des effets contre-productifs. Lorsqu’on oblige les utilisateurs à changer leurs mots de passe trop fréquemment, cela les conduit souvent à choisir des mots de passe plus simples ou à réutiliser des variantes faciles à deviner. Bilan, le NIST préconise de ne pas imposer de changement de mot de passe à moins qu’il y ait une raison spécifique, comme la détection d’une compromission. Cela permet de diminuer le stress des utilisateurs tout en garantissant une meilleure protection des comptes.

Désactivation des contraintes inutiles

Le guide déconseille également l’utilisation de règles de composition restrictives qui refusent certains caractères ou qui exigent des combinaisons spécifiques. Cela inclut également la désactivation des systèmes qui empêchent les utilisateurs de copier-coller ou de générer automatiquement des mots de passe, une pratique courante avec les gestionnaires de mots de passe. Le but est de faciliter la création de mots de passe sécurisés tout en réduisant le fardeau cognitif sur les utilisateurs. Le NIST recommande que les mots de passe proposés par les utilisateurs soient vérifiés par rapport à des listes de mots de passe compromis, communément disponibles après des violations de données. Cela inclut les mots de passe courants, les mots de passe exposés et les termes prévisibles associés à des informations personnelles. En bloquant l’utilisation de ces mots de passe connus, le risque de compromission est considérablement réduit. A noter que le Service Veille ZATAZ, entreprise Française, est capable de vous alerter lors de la compromission des informations de votre entreprise, dont les mots de passe.

Les attaques par force brute, où un pirate (ou ses logiciels automatisés) tente d’essayer toutes les combinaisons possibles de mots de passe, restent une menace constante. Le NIST suggère des mesures pour limiter ces tentatives, comme l’introduction de temporisations après un certain nombre d’échecs de connexion. De nombreux sites utilisent cette solution, dont Data Security Breach. L’utilisation d’authentification multi-facteurs est également une défense efficace contre ces types d’attaques, car le hacker malveillant doit non seulement deviner un mot de passe, mais également obtenir un second facteur, ce qui est « quasiment » impossible rapidement et efficacement. Le NIST recommande l’authentification multi-facteurs (MFA) comme méthode essentielle pour garantir une sécurité accrue. Le MFA combine généralement un mot de passe avec quelque chose que l’utilisateur possède (comme un téléphone ou une clé de sécurité) ou quelque chose qu’il est (comme une empreinte digitale). Concernant la biométrie (contrôle par l’empreinte palmaire, l’iris, Etc), le NIST encourage à ne pas utiliser la biométrie comme unique facteur.

Algorithmes de hachage obsolètes

Le NIST déconseille de stocker les mots de passe en texte clair ou sous une forme faiblement protégée, comme les algorithmes de hachage obsolètes (par exemple, MD5 ou SHA-1). Il est essentiel d’utiliser des méthodes modernes de protection des mots de passe comme l’algorithme de hachage sécurisé PBKDF2 ou Argon2, qui ralentissent le processus de vérification hors ligne, rendant les attaques par force brute beaucoup plus difficiles. Les gestionnaires de mots de passe sont fortement recommandés par le NIST pour gérer la complexité de la création et de la mémorisation des mots de passe. Ces outils permettent aux utilisateurs de créer des mots de passe longs et uniques pour chaque service sans avoir à s’en souvenir, ce qui réduit le risque de réutilisation de mots de passe. Le guide suggère d’encourager les utilisateurs à adopter ces outils comme une solution viable pour renforcer leur sécurité personnelle.

Pour conclure, le NIST rappelle la base de la cyber : éducation ! L’un des éléments clés de la sécurité des mots de passe est la sensibilisation des utilisateurs. Les meilleures pratiques en matière de sécurité peuvent être inefficaces si les utilisateurs ne sont pas bien formés. Le NIST insiste sur l’importance de campagnes de sensibilisation pour encourager l’utilisation de phrases de passe, de gestionnaires de mots de passe et de l’authentification multi-facteurs. Il est également crucial que les utilisateurs comprennent les risques liés aux attaques par phishing et à la compromission de leurs identifiants.

Bitcoin, Cybersécurité

Rapport du FBI sur la fraude aux cryptomonnaies : alerte face à la montée des délits

En 2023, la fraude aux cryptomonnaies a atteint des niveaux préoccupants, selon le rapport du FBI. Le Centre de plaintes pour la criminalité sur Internet (IC3) a enregistré plus de 69 000 plaintes liées aux cryptomonnaies, représentant des pertes estimées à 5,6 milliards de dollars. Bien que ces plaintes ne représentent que 10 % des signalements de fraudes financières, les pertes associées à ces cas représentent près de 50 % des pertes totales signalées.

La cryptomonnaie est de plus en plus exploitée dans des escroqueries variées, telles que les fraudes à l’investissement, les escroqueries au support technique, les arnaques amoureuses, ou encore les stratagèmes d’usurpation d’identité gouvernementale. Cependant, la fraude à l’investissement en cryptomonnaies s’est imposée comme la plus répandue et la plus dommageable, causant plus de 3,9 milliards de dollars de pertes en 2023.

La sophistication croissante des fraudes cryptographiques

Le directeur du FBI, Christopher Wray, a exprimé son inquiétude face à la montée en sophistication de ces escroqueries. Il a mis en avant la nécessité d’une vigilance publique accrue, affirmant que la signalisation des fraudes, même en l’absence de pertes financières, est essentielle pour aider le FBI à détecter les nouvelles tendances criminelles et à informer le public.

Les escroqueries liées aux cryptomonnaies suivent souvent un schéma d’ingénierie sociale sophistiqué, dans lequel les victimes sont manipulées pour investir de l’argent dans des opportunités fictives. Voici les étapes typiques d’une fraude à l’investissement en cryptomonnaie :

Cibler les victimes : Les escrocs utilisent diverses méthodes pour attirer leurs victimes, notamment via les réseaux sociaux, les SMS ou les sites de rencontres.

Instaurer la confiance : Une fois la victime approchée, les escrocs cherchent à établir une relation de confiance en flattant et en sympathisant avec leurs difficultés.

Le pitch d’investissement : Après avoir gagné la confiance de la victime, les fraudeurs introduisent l’idée d’un investissement « lucratif », souvent dans des secteurs comme le trading de cryptomonnaies ou le mining.

Investissement initial : Les victimes sont incitées à ouvrir des comptes sur des plateformes légitimes, puis à transférer des fonds vers des plateformes frauduleuses.

Augmentation de l’investissement : Les premières transactions semblent fructueuses, encourageant les victimes à investir davantage. Les escrocs peuvent même autoriser des retraits partiels pour renforcer la confiance.

Le piège final : Lorsque les victimes tentent de retirer tous leurs fonds, elles sont bloquées sous prétexte de frais ou d’impôts supplémentaires à payer. Ce dernier stratagème permet aux criminels de soutirer davantage d’argent avant de disparaître.

La réponse du FBI : Virtual Assets Unit (VAU)

En réponse à cette vague de criminalité, le FBI a renforcé ses capacités d’enquête sur les fraudes liées aux cryptomonnaies en 2022 en créant la Virtual Assets Unit (VAU). Cette équipe spécialisée utilise des technologies de pointe pour analyser la blockchain, suivre les transactions suspectes et saisir les actifs virtuels.

Le FBI encourage les victimes, même celles n’ayant subi aucune perte, à signaler les escroqueries via le portail IC3 (ic3.gov). Ces signalements sont essentiels pour suivre l’évolution des stratagèmes et protéger le public.

Conseils pour éviter les arnaques liées aux cryptomonnaies

Pour se prémunir contre les arnaques en cryptomonnaies, voici quelques conseils :

Méfiez-vous des communications non sollicitées via SMS, réseaux sociaux ou autres canaux proposant des opportunités d’investissement.
Vérifiez de manière indépendante les conseils d’investissement, en particulier s’ils proviennent de contacts en ligne que vous n’avez jamais rencontrés en personne.
Soyez attentif aux signaux d’alerte, tels que les demandes de communication via des applications comme WhatsApp ou Telegram.
Évitez les plateformes d’investissement qui semblent trop belles pour être vraies ou qui imitent des institutions légitimes.
Ne répondez jamais à des demandes de paiements en cryptomonnaie provenant de prétendues agences gouvernementales.

Pourquoi les criminels exploitent-ils les cryptomonnaies ?

La nature décentralisée des cryptomonnaies, combinée à la rapidité et à l’irréversibilité des transactions, en fait une cible attrayante pour les criminels. Les transactions sans supervision d’un tiers sont difficiles à annuler, permettant ainsi aux malfaiteurs de déplacer de grosses sommes d’argent à travers les frontières avec une traçabilité minimale. Bien que la blockchain permette de suivre les transactions, il est difficile de récupérer les fonds lorsque ceux-ci sont transférés dans des pays aux lois anti-blanchiment d’argent peu strictes.

cyberattaque, Cybersécurité

Les cybercriminels de RansomHub utilisent TDSSKiller pour contourner les systèmes de sécurité

Les attaques par ransomware continuent d’évoluer avec l’ingéniosité des cybercriminels, et les méthodes de contournement des systèmes de sécurité se sophistiquent. RansomHub, un groupe de pirates notoire, exploite un outil légitime de Kaspersky Lab, TDSSKiller, pour désactiver les services de détection et de réponse des points finaux (EDR) sur les systèmes qu’ils ciblent.

Ce détournement des outils de cybersécurité souligne un défi majeur dans la lutte contre les ransomwares : l’utilisation d’outils authentiques et signés pour masquer des intentions malveillantes.

TDSSKiller, développé par Kaspersky Lab, est à la base un logiciel de sécurité conçu pour détecter et éliminer les rootkits et bootkits, des types de malwares difficiles à identifier et à éliminer. Ces programmes malveillants peuvent contourner les mesures de sécurité traditionnelles et s’intégrer profondément dans le système, ce qui rend leur élimination complexe.

Cependant, comme le rapporte Bleeping Computer, RansomHub a détourné l’utilisation de cet outil pour interagir avec les services au niveau du noyau du système infecté, désactivant ainsi les services anti-malware tels que MBAMService de Malwarebytes. Ce processus se fait via un script de ligne de commande ou un fichier batch, ce qui permet aux cybercriminels de désactiver les mécanismes de défense critiques et de s’assurer que leur présence sur le système reste inaperçue.

Comment RansomHub utilise LaZagne pour l’exfiltration des informations d’identification

Après avoir désactivé les systèmes de défense via TDSSKiller, les pirates de RansomHub passent à la collecte d’informations d’identification. Ils exploitent l’outil LaZagne, un autre programme légitime, pour extraire les informations de connexion stockées dans les bases de données d’applications. Cet outil peut accéder à des identifiants provenant de navigateurs, de clients de messagerie, de bases de données ou encore de logiciels de gestion de mots de passe.

Une fois les informations d’identification récupérées, les pirates peuvent se déplacer latéralement dans le réseau, escaladant leurs privilèges pour prendre le contrôle de nouveaux systèmes et y installer d’autres malwares ou finaliser une attaque de ransomware. Malwarebytes a enquêté sur une attaque où LaZagne avait généré 60 fichiers contenant des données volées, preuve de l’étendue des informations que ces cybercriminels peuvent exfiltrer.

Les implications pour les entreprises : vigilance et renforcement des défenses

L’utilisation d’outils légitimes dans des attaques malveillantes est particulièrement problématique pour les équipes de sécurité. TDSSKiller est signé avec un certificat valide, ce qui rend sa détection par des logiciels de sécurité standard difficile. Les solutions de sécurité doivent donc être adaptées pour reconnaître des comportements suspects, même s’ils émanent d’outils légitimes. Cela inclut l’analyse comportementale avancée et la mise en place de restrictions plus strictes quant à l’utilisation d’outils tels que TDSSKiller ou LaZagne dans des environnements sensibles. Malwarebytes a souligné que les attaquants de RansomHub ont cherché à dissimuler leurs traces en supprimant des fichiers après avoir exfiltré des données d’identification, un comportement typique visant à éviter la détection post-incident.

Cybersécurité, Entreprise

Cybersécurité : la menace interne

Le FBI a récemment émis une alerte sur une menace de plus en plus courante et souvent négligée : la menace interne. Si les entreprises se concentrent principalement sur les attaques externes, il apparaît que les cybercriminels trouvent de nouveaux moyens d’infiltrer les systèmes de sécurité des organisations en se faisant passer pour des employés.

Une menace interne qui prend une nouvelle dimension avec l’exemple concret de Kyle, un faux employé nord-coréen, qui a réussi à contourner toutes les étapes de recrutement, jusqu’à pénétrer le réseau d’une entreprise. En juillet, KnowBe4 a levé le voile sur un cas inquiétant. L’entreprise avait recruté un employé, appelé Kyle, qui semblait remplir toutes les qualifications nécessaires.

Cependant, dès que Kyle a connecté son PC au réseau de l’entreprise, une vague de malwares a immédiatement été détectée. Le helpdesk a tenté de joindre l’utilisateur, mais celui-ci est resté silencieux. Après une enquête approfondie, il est apparu que Kyle n’était en réalité qu’un faux employé – un agent nord-coréen ayant utilisé une fausse photo générée par l’IA pour tromper les recruteurs. Cette infiltration a mis en lumière un schéma de fraude bien rodé : des fermes d’ordinateurs portables aux États-Unis permettent aux agents nord-coréens de se connecter aux serveurs internes des entreprises depuis l’étranger, camouflant ainsi leur localisation réelle.

Une menace en plein essor aux États-Unis

Et Kyle n’est pas un cas isolé. Le FBI a récemment averti que ce type de menace se propageait aux États-Unis, avec des centaines, voire des milliers de cas similaires recensés depuis 2022 et 2023. Ces infiltrations par des agents étrangers montrent clairement que la cybercriminalité interne est un problème persistant et que les entreprises ne peuvent plus se permettre de sous-estimer ce risque. Face à cette menace croissante, il est essentiel pour les entreprises d’adopter une approche proactive pour renforcer leurs défenses internes. Bien que certaines mesures de sécurité soient déjà en place, d’autres actions peuvent être prises pour limiter les risques d’infiltration.

Les recruteurs doivent désormais redoubler de vigilance, notamment en matière de vérification des antécédents. Même pour des postes en full remote, il est important d’exiger la présence physique des candidats lors du processus de recrutement et régulièrement après leur embauche. La mise en place d’un système de détection des comportements inhabituels est cruciale. Cela peut être aussi simple que de surveiller des paramètres tels que les volumes de données transférées ou les horaires de connexion, ou d’utiliser des technologies avancées comme l’UEBA (User and Entity Behavior Analytics) pour identifier des anomalies plus subtiles. La gestion des droits d’accès aux informations est souvent un point faible dans la sécurité des entreprises. Il est impératif de limiter l’accès aux données sensibles et de s’assurer que chaque employé n’ait accès qu’à ce qui est nécessaire à son travail.

Il est recommandé de constituer une équipe spécifiquement chargée de traiter les incidents liés aux menaces internes. Cette équipe pourra gérer les cas de manière discrète, sans que les informations sensibles ne circulent librement dans le SOC (Security Operations Center) ou dans les tickets ouverts, afin d’éviter des fuites d’informations. Une red team dédiée à la « menace interne » devrait être incluse dans les budgets de cybersécurité pour l’année 2025. Cette équipe spécialisée pourrait simuler des scénarios d’infiltration afin d’identifier les failles potentielles dans les processus de recrutement et de sécurité des entreprises.

Protéger la vie privée tout en assurant la sécurité

Bien que ces mesures soient cruciales, il est tout aussi important de respecter les droits à la vie privée des employés. Les entreprises doivent donc équilibrer la protection contre les menaces internes avec les préoccupations en matière de protection des données personnelles. Pour ce faire, elles peuvent s’inspirer des pratiques éprouvées dans le domaine de la lutte contre la fraude, où des protocoles de sécurité sont en place depuis longtemps tout en préservant les droits des individus.

La menace interne représente un défi croissant pour les entreprises, en particulier avec des cybercriminels capables de se faire passer pour des employés légitimes. L’exemple de Kyle, l’agent nord-coréen infiltré, souligne à quel point ces attaques peuvent être sophistiquées et difficiles à détecter. Mais attention, l’employé malveillant n’est pas obligatoirement venu de pays étranger. Il peut être aussi un « simple » malveillant comme a pu le vivre l’entreprise CapGemini, en France, en 2024.