Des pirates utilisant l'arnaque téléphonique ciblent les géants de Wall Street dans un complot de rançon

Read, Watch or Listen

1x 1.5x 2x

1x 1.5x 2x

Des pirates informatiques réclamant des rançons ont ciblé des dizaines d'institutions financières américaines de premier plan et d'autres grandes entreprises au cours du mois dernier, selon des données de Google et de renseignement sur Internet examinées par Reuters. Les pirates ont conçu des sites Web malveillants visant à voler les mots de passe des employés de sociétés de capital-investissement et d'entreprises financières, notamment Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital et Moody's. Google a déclaré dans un article de blog publié jeudi que les pirates opéraient sous divers noms, notamment Redact, Pink, Falcon et Helix. Google a refusé de commenter les conclusions de Reuters. Son blog indiquait que dans certains cas, des entreprises, qu'il n'a pas nommées, avaient payé des rançons aux pirates. Reuters n'a pas pu établir quelles entreprises les pirates avaient réussi à compromettre. Les experts estiment que l'utilisation par les pirates de tactiques peu sophistiquées telles que les appels téléphoniques pour cibler le secteur financier illustre comment, malgré des programmes de sécurité sophistiqués et des menaces pilotées par l'IA, les tactiques les plus anciennes restent parmi les plus efficaces. En cas de succès, les piratages pourraient compromettre les données de certaines des plus grandes sociétés de capital-investissement américaines qui fournissent des capitaux aux entreprises. "Parce que la clôture est maintenant si sophistiquée et high-tech, nous devons juste tromper le garde pour qu'il nous ouvre la porte", a déclaré Lee Clark, un responsable de la production de renseignements sur les menaces cybernétiques au sein du Retail and Hospitality ISAC, un groupe d'analyse et de partage d'informations sur l'industrie. "Cet élément humain est constamment la raison pour laquelle cela a explosé de cette façon", a-t-il dit. KKR, Bain Capital, Clearlake Capital, CME, TPG et Apollo ont refusé de commenter. Blackstone, Bridgewater Associates et Moody's n'ont pas immédiatement répondu aux demandes de commentaires. Dans son article de blog, Google a indiqué que les pirates avaient récemment tourné leur attention vers le capital-investissement, les cabinets d'avocats et les agences de notation financière. Austin Larsen, analyste principal des menaces au sein du groupe de renseignement sur les menaces de Google, a déclaré que les pirates ciblaient généralement les industries sur la base de calculs financiers, souvent avec succès. "Vraiment, c'est une question d'argent", a déclaré Larsen. "Ils pensent que ces sociétés ou organisations ont des données suffisamment sensibles pour qu'elles paient pour les empêcher d'être prises." Google n'a pas nommé les cibles des pirates. Reuters a rétro-ingénieré de nombreux pièges en ligne spécifiques à chaque entreprise utilisés par les pirates en exécutant les 72 sites Web malveillants listés par Google dans son rapport via des plateformes de renseignement Web telles que DomainTools et urlscan, qui ont signalé des sous-domaines malveillants adaptés à chaque entreprise. Parlant de manière générale des sous-domaines, Larsen a déclaré : "Ils ont tous été probablement utilisés dans des tentatives d'intrusion", bien qu'il ait averti : "Ils n'ont pas tous réussi." Google a indiqué que les pirates utilisaient des "tactiques d'ingénierie sociale méticuleuses", contactant les employés sur leurs téléphones portables personnels en prétendant appeler du service d'assistance de leur entreprise, affichant parfois le numéro de téléphone correct du service d'assistance. Les pirates ont dit à leurs cibles qu'il y avait une directive urgente de l'informatique pour mettre à jour leurs clés d'accès ou leur authentification multifacteur et ont dirigé les employés vers un site Web piégé avec des noms de domaine tels que "passkeyhelpdesk" ou "secure-passkey." Si un employé suivait les instructions pour entrer son mot de passe, les pirates collectaient son code d'accès de sécurité – généralement envoyé par SMS ou généré par une application – en direct par téléphone et détournaient son compte avant la fin de l'appel. Larsen a déclaré qu'il était erroné de considérer cette tactique comme particulièrement avancée. "Sophistiqué n'est pas le bon mot", a-t-il dit. "C'est juste vraiment efficace." Reuters n'a pas été en mesure de contacter les pirates présumés. Redact – qui se faisait autrefois appeler Blackfile – a déclaré sur son site Web du darknet que ses pirates "ne sont pas" et le message s'interrompt.