Des chercheurs en sécurité chez Check Point, spécialisés dans les messageries électroniques ont récemment dévoilé une campagne de phishing lors de laquelle des attaquants usurpent des services de partage de fichiers et de signature électronique pour diffuser des messages frauduleux portant sur des thématiques financières, et imitant des notifications légitimes.
> Au cours des deux dernières semaines, plus de 40 000 mails de phishing ciblant environ 6 100 entreprises, ont été envoyés.
Tous les liens malveillants transitaient par l’url https://url.za.m.mimecastprotect.com, renforçant ainsi la confiance des victimes grâce à l’imitation de flux de redirection familiers.
Comment fonctionne la campagne ?
Les attaquants ont exploité la fonctionnalité de réécriture sécurisée des liens de Mimecast, l’utilisant comme base pour faire apparaître leurs liens comme sûrs et authentifiés. Mimecast Protect étant un domaine de confiance, cette technique permet aux URL malveillantes de contourner les filtres automatisés et de ne pas éveiller les soupçons des utilisateurs.
Pour renforcer leur crédibilité, les mails reprenaient des éléments visuels officiels du service (logos Microsoft et Office), utilisaient des en-têtes, des pieds de page et des boutons « Consulter le document » similaires à ceux des services légitimes, et usurpaient des noms d’affichage tels que « X via SharePoint (Online) », « eSignDoc via Y » et « SharePoint », imitant ainsi les modèles de notifications authentiques.
Variante associée : Phishing de type DocuSign utilisant une méthode de redirection différente
Parallèlement à la vaste campagne SharePoint/Signature électronique, les chercheurs ont également identifié une opération plus modeste, mais connexe, imitant les notifications DocuSign. À l’instar de l’attaque principale, elle usurpe l’identité d’une plateforme SaaS de confiance et exploite une infrastructure de redirection légitime, mais la technique utilisée pour masquer la destination malveillante diffère considérablement.
Dans la campagne principale, la redirection secondaire agit comme une redirection ouverte, laissant l’URL finale de phishing visible dans la chaîne de requête malgré son encapsulation dans des services de confiance. Dans la variante DocuSign, le lien transite d’abord par une URL Bitdefender GravityZone, puis par le service de suivi des clics d’Intercom, la véritable page de destination étant entièrement dissimulée derrière une redirection tokenisée. Cette approche masque complètement l’URL finale, rendant la variante DocuSign encore plus furtive et difficile à détecter.
Échelle et modèles de campagne
La campagne ciblait principalement des organisations aux États-Unis, en Europe, au Canada, en Asie-Pacifique et au Moyen-Orient, en se concentrant particulièrement sur les secteurs du conseil, des technologies et de la construction/immobilier. D’autres victimes ont également été recensées dans les secteurs de la santé, de la finance, de l’industrie, des médias, du marketing, des transports, de la logistique, de l’énergie, de l’éducation, du commerce de détail, de l’hôtellerie et du tourisme, ainsi que dans le secteur public. Ces secteurs constituent des cibles privilégiées car ils échangent régulièrement des contrats, des factures et d’autres documents transactionnels, ce qui rend les techniques d’usurpation par partage de fichiers et signature électronique, particulièrement convaincantes et susceptibles de réussir.
Les données de télémétrie Harmony Email de Check Point montrent que plus de 40 000 e-mails de phishing ont ciblé environ 6 100 entreprises au cours des deux dernières semaines. La campagne ciblait principalement des organisations aux États-Unis, en Europe, au Canada, en Asie-Pacifique et au Moyen-Orient. La répartition par région est la suivante :
USA : 34,057
Europe : 4,525
Canada : 767
Asie : 346
Australie : 267
Moyen-Orient : 256
Remarque : La répartition régionale reflète l’emplacement où les données d’entreprise sont hébergées au sein de notre infrastructure et ne représente pas nécessairement l’emplacement physique des entreprises.
Par secteur d’activité, les entreprises les plus touchées opèrent dans les domaines du conseil, des technologies et de la construction/immobilier, avec des entreprises également représentées dans les secteurs de la santé, de la finance, de l’industrie manufacturière, des médias/marketing, du transport/logistique, de l’énergie, de l’éducation, du commerce de détail, de l’hôtellerie/tourisme et du secteur public. Ces secteurs sont probablement ciblés car ils échangent fréquemment des contrats, des factures et d’autres documents financiers, ce qui rend les arnaques au partage de fichiers et à la signature électronique particulièrement convaincantes.
Pourquoi est-ce important ?
Nous avons déjà évoqué des campagnes de phishing similaires ces dernières années, mais ce qui rend cette attaque unique, c’est qu’elle démontre la facilité avec laquelle les attaquants peuvent imiter des services de partage de fichiers de confiance pour tromper les utilisateurs, et souligne la nécessité d’une vigilance constante, notamment lorsque les mails contiennent des liens cliquables, des informations suspectes sur l’expéditeur ou un contenu inhabituel.
Que peuvent faire les organisations ?
Les organisations et les particuliers doivent également prendre des mesures proactives pour réduire les risques. Voici quelques conseils pour se protéger :
1. Soyez toujours prudent avec les liens contenus dans les mails, surtout s’ils semblent inattendus ou urgents.
2. Examinez attentivement les détails des mails : vérifiez si le nom affiché ne correspond pas à l’adresse de l’expéditeur, que la mise en page est cohérente, que la taille des polices est bien alignée, que les logos ou images sont de bonne qualité et que rien ne vous paraît suspect.
3. Avant de cliquer sur un lien, survolez-le avec votre souris pour vérifier sa destination et vous assurer qu’elle correspond au service censé avoir envoyé le message.
4. Ouvrez le service vous-même dans votre navigateur et recherchez directement le document, plutôt que d’utiliser les liens fournis dans les mails.
5. Sensibilisez régulièrement vos employés et vos équipes aux nouvelles techniques de phishing afin qu’ils sachent reconnaître les comportements suspects.
6. Utilisez des solutions de sécurité telles que la détection des menaces par mails, les moteurs anti-phishing, le filtrage des URLs et les outils de signalement des utilisateurs pour renforcer votre protection.
