L’équipe de recherche en sécurité de JFrog vient de mettre au jour une opération de cyberattaque jusqu’alors inconnue, baptisée « AccuraSoftHire », parmi plusieurs autres campagnes similaires. Celle-ci repose sur une méthode utilisée par les cybercriminels depuis 2023 : le recours à de faux entretiens d’embauche pour piéger leurs victimes. Une technique récemment mise en lumière par la cyberattaque visant Binance, au cours de laquelle 6,34 milliards de dollars d’actifs ont été dérobés.
Tribune JFrog – Les cybercriminels utilisent de faux entretiens d’embauche depuis 2023, mais l’attaque visant Binance a récemment illustré l’ampleur des dégâts que cette méthode peut provoquer. Dans un nouvel article de blog, les chercheurs de JFrog détaillent aujourd’hui une campagne toujours active et montrent à quel point les attaquants déploient des efforts pour rendre leurs pièges crédibles.
« AccuraSoftHire » est une entreprise fictive qui présente toutes les apparences d’une société légitime : un site internet doté d’une rubrique carrières, des témoignages de clients, une page LinkedIn, des offres d’emploi publiées sur des plateformes de recrutement généralistes et des recruteurs dont l’identité a été vérifiée. Son nom de domaine a été enregistré en avril et sa première offre d’emploi publiée en juin. L’entreprise passe ainsi les vérifications auxquelles procèdent habituellement les candidats. Les indices permettant de déceler la fraude sont subtils : les profils des recruteurs ont été créés à quelques mois d’intervalle et l’adresse du siège social varie d’une page à l’autre. Le processus de recrutement comporte ensuite deux étapes piégées : un test technique à effectuer à domicile et une étape de vérification vidéo, tous deux conçus pour diffuser des logiciels malveillants. En s’appuyant sur une adresse e-mail commune, les chercheurs ont pu établir un lien entre un package logiciel malveillant, de nombreux autres packages associés et un profil de recruteur, et ainsi retracer cette opération.
Guy Korolevski, chercheur senior en sécurité chez JFrog Security Research, explique :
« À la suite de l’attaque visant Binance, tous les cybercriminels qui utilisent cette méthode peuvent désormais mesurer les bénéfices qu’ils peuvent en tirer, et nous nous attendons à ce que ces opérations se multiplient. Nos recherches montrent que ces leurres sont conçus pour déjouer les vérifications habituelles sur lesquelles s’appuient les candidats : un site internet professionnel, une page LinkedIn, des offres d’emploi publiées sur des plateformes généralistes et des recruteurs disposant du badge de vérification LinkedIn. On ne peut pas attendre des développeurs et des autres collaborateurs ayant accès aux systèmes de l’entreprise qu’ils détectent seuls ce type de fraude. Il appartient donc aux employeurs de fixer des règles claires. Tout test technique de recrutement impliquant le téléchargement de fichiers doit impérativement être réalisé dans une machine virtuelle temporaire, et jamais sur un ordinateur professionnel. Les équipes de sécurité doivent également sensibiliser les collaborateurs aux risques liés au téléchargement de fichiers provenant de sources inconnues, y compris lorsqu’ils pensent pouvoir faire confiance à leur provenance. Enfin, les développeurs peuvent prendre quelques précautions supplémentaires, notamment vérifier la date de création du profil LinkedIn d’un recruteur et s’assurer que l’adresse de l’entreprise est cohérente d’une page à l’autre. »