Les pirates utilisent de faux messages vocaux, qui peuvent être écoutés par e-mail, pour collecter les identifiants des utilisateurs piégés. Les cybercriminels se livrent à de l'ingénierie sociale pour les inciter à cliquer sur des liens malveillants.
Pour tromper les utilisateurs et les pousser à cliquer sur des liens malveillants, les pirates informatiques redoublent d'efforts. Ils se basent sur une technique d'ingénierie sociale qui consiste à utiliser la messagerie vocale comme leurre, en profitant du lien entre les systèmes de téléphonie d'entreprise et les e-mails. Ces attaques sont hélas en augmentation. Les chercheurs de CheckPoint nous expliquent que 1 000 incidents de ce type ont été enregistrés au cours des deux dernières semaines.
Un lecteur MP3 intégré aux e-mails qui fait mouche
Avec cette stratégie, les cybercriminels dissimulent des liens de collecte d'identifiants dans de faux messages vocaux, qui exploitent la connectivité entre les systèmes de téléphonie et les courriers électroniques. La sophistication de ces attaques résident dans l'apparence authentique des e-mails. Les pirates parviennent à imiter des marques bien connues, comme Square, le service de traitement des paiements.
Un exemple récent nous montre un e-mail prétendument envoyé par Square, avec un petit lecteur MP3 intégré, qui une fois lancé, redirige les utilisateurs vers une page malveillante de collecte d'identifiants. Au départ, les escrocs envoient des QR codes avec un routage conditionnel basé sur l'appareil. Le message électronique commence par une ligne d'objet contenant un numéro de téléphone fictif, ce qui ajoute une certaine légitimité au processus, même si en faisant une rapide recherche sur Google, on se rend compte que le numéro n'existe pas.
L'e-mail semble, à première vue, provenir de Square, mais une inspection un peu plus poussée aide à révéler sa fausseté. Le lecteur MP3 dont nous parlions fait ensuite le reste, pour rediriger la personne piégée où le hacker veut qu'elle aille.
Une technique qui rappelle l'importance d'adopter une défense cyber proactive
Contrairement aux attaques dites « zéro clic », les pirates dépendent ici de l'interaction de l'utilisateur avec le piège, pour réussir l'attaque de phishing. Ils usent d'une certaine créativité pour inciter les cibles à réécouter un fichier, que l'on peut lire dans un e-mail, ou à cliquer sur des liens. Le tout pour récupérer les identifiants des utilisateurs, tout en s'adaptant aux réactions et aux succès de leurs méthodes.
Pour les professionnels de la sécurité, la question est de savoir comment on peut bloquer ces tentatives. L'utilisation de l'IA pour analyser les indicateurs de hameçonnage, la vérification systématique et l'émulation des URL, sans oublier la mise en place d'une sécurité multicouche, font partie des mesures recommandées, comme nous l'explique CheckPoint. Comme toujours, la sensibilisation aux techniques des hackers et la vigilance sont des indétrônables.
En usurpant l'identité de marques réputées et en intégrant des messages vocaux intrigants, les hackers ont mis au point une méthode plutôt astucieuse pour collecter des identifiants. Elle n'est pas parfaite, évidemment, mais elle fonctionne sur des cibles peu regardantes. Voilà qui renforce l'intérêt d'adopter une défense proactive contre ces cyberattaques.
Journaliste, chargé de l'actualité de Clubic. Reporter, vidéaste, animateur et même imitateur-chanteur, j'ai écrit mon premier article en 6ème. J'ai fait de cette vocation mon métier (diplômé de l'EJCAM, école reconnue par la profession), pour écrire, interviewer, filmer, monter et produire du contenu écrit, audio ou vidéo au quotidien. Quelques atomes crochus avec la Tech, certes, mais aussi avec l'univers des médias, du sport et du voyage. Outre le journalisme, la production vidéo et l'animation, je possède une chaîne YouTube (à mon nom) qui devrait piquer votre curiosité si vous aimez les belles balades à travers le monde, les nouvelles technologies et la musique :)
Lire d'autres articles
