Le groupe hacktiviste Syrian Electronic Army (SEA) ou “armée électronique syrienne” a brièvement publié sur le compte Twitter “The Onion”, affichant une série de blagues anti-israéliennes et une image anti-Obama. Une attaque par phishing serait à la source du piratage.
L’armée électronique syrienne a pris le contrôle du compte Twitter “The Onion” en utilisant une technique de piratage avancée.
Au moins trois méthodes d’attaques de phishing, où un faux e-mail redirige vers un faux site Web qui a ensuite demandé l’accès à Google Apps.
Auparavant, l’armée électronique syrienne s’était déjà attaqué au compte Twitter officiel de l’AP et du Guardian, en publiant un tweet prétendant qu’il y avait eu une explosion à la Maison Blanche…
Difficile de connaître les détails de l’attaque, ce sont des renseignements qui ne s’ébruitent pas en général. Le New York Times a révélé plus tôt cette année comment les pirates chinois avait pénétrés ses systèmes, mais cela reste rare. La plupart des entreprises craignent que ces informations influent sur leur réputation ou à leur cours de bourse.
L’attaque a été lancée via des e-mails envoyés aux employés d’oignon, ces derniers contenant un lien qui, avec un rapide coup d’œil, semblait être du Washington Post sur un contenu à propos de The Onion. Lorsque vous cliquez dessus, cependant, l’URL réelle était “hackwordpresssite.com/theonion.php“, qui ensuite redirige à nouveau vers une demande d’authentification Google App qui finit par revenir à gMail.
Seuls quelques employés ont reçu des e-mails, et au moins un a été dupé, ce qui entraîne la deuxième phase de l’attaque. En utilisant le courriel compromis de l’employé, le SEA a envoyé des messages aux autres employés d’oignon tôt dans la matinée contenant un autre lien qui a de nouveau demandé des informations de connexion Google. Parmi les personnes visées, l’une d’elles a fourni les informations de connexion pour les comptes de médias sociaux de l’oignon, y compris Twitter. The Onion a pris connaissance de cette violation rapidement et a envoyé des alertes à tout le mondeafin de changer leurs mots de passe courriel.
Quelles leçons peut-on tirer de cette campagne de phishing réussie envers oignon ? The Onion conseille aux autres sociétés de médias d’éviter de telles attaques en prenant des mesures telles que la formation des employés sur le phishing, isoler les connexions aux comptes de médias sociaux, l’alimentation en tweets via une application tierce, ou encore empêcher l’accès aux comptes employés en dehors des comptes de messagerie d’entreprise.