zLabs met au jour 46 nouveaux indicateurs de compromission liés à des campagnes de phishing qui usurpent l’identité de recruteurs pour dérober des accès aux systèmes d’entreprise.
Tribune – zLabs, l’équipe de recherche de Zimperium, leader mondial de la sécurité mobile basée sur l’IA, publie une nouvelle étude qui met en lumière des campagnes de phishing sophistiquées exploitant de fausses opportunités de recrutement pour dérober les identifiants professionnels des collaborateurs. Les chercheurs montrent notamment que les appareils mobiles constituent un vecteur d’attaque particulièrement efficace pour ce type de menace.
Dans ces campagnes les cybercriminels se font passer pour des recruteurs ou des responsables RH de grandes entreprises internationales, en reproduisant de manière réaliste les différentes étapes d’un processus de recrutement (entretien, de prise de rendez-vous, …) pour rediriger les victimes vers de fausses pages de connexion. Fait particulièrement notable, l’infrastructure de phishing rejette les adresses e-mail personnelles et exige des victimes qu’elles saisissent uniquement leurs identifiants professionnels. Ce mécanisme confirme que ces attaques sont spécifiquement conçues pour compromettre les comptes d’entreprise, plutôt que pour collecter, sans ciblage particulier, le plus grand nombre d’identifiants possible.
Sur les ordinateurs, les cybercriminels recourent notamment à des techniques de type « navigateur dans le navigateur » (Browser-in-the-Browser, BitB) pour simuler des fenêtres d’authentification légitimes. Sur mobile, ces attaques deviennent encore plus difficiles à détecter : les pages de phishing sont adaptées aux petits écrans et présentent aux victimes une fausse page de connexion en plein écran. La visibilité réduite des URL et des autres indicateurs du navigateur prive ainsi les utilisateurs de repères visuels, rendant plus difficile l’identification d’une demande d’authentification frauduleuse.
« Ces arnaques au recrutement sont particulièrement préoccupantes pour les entreprises car elles ciblent délibérément les identités professionnelles. Les cybercriminels ne cherchent pas simplement à voler n’importe quels identifiants : ils ciblent spécifiquement les comptes d’entreprise susceptibles de leur ouvrir l’accès aux messageries professionnelles, aux applications cloud et à d’autres systèmes critiques. Sur les appareils mobiles, l’escroquerie est encore plus difficile à détecter, car de nombreux signaux visuels, sur lesquels les collaborateurs s’appuient habituellement pour reconnaître une tentative de phishing, sont réduits, voire totalement absents. » déclare Nicolás Chiaraviglio, Chef Scientist chez Zimperium.
Zimperium a analysé une année de données télémétriques portant sur des domaines frauduleux liés à des noms de domaine de recrutement usurpant l’identité de références du secteur et a constaté que la menace allait au-delà de la récente recrudescence des arnaques au recrutement. Les cybercriminels maintiennent dans le temps des infrastructures malveillantes usurpant l’identité d’entreprises de premier plan dans de nombreux secteurs notamment la technologie, la grande distribution, l’aviation, les services professionnels et les biens de consommation.
Zimperium a identifié 46 nouveaux indicateurs de compromission (IOC) associés à cette campagne. L’analyse a également mis en évidence des délais parfois importants entre l’enregistrement des domaines usurpant l’identité et leur détection par les flux publics de renseignement sur les menaces. Dans plusieurs cas, ces domaines n’ont pas été signalés pendant des mois, voire des années. Une période durant laquelle les collaborateurs peuvent être exposés à des infrastructures malveillantes avant qu’elles ne soient ajoutées aux listes de blocage traditionnelles.
Ces conclusions illustrent l’enjeu croissant pour les équipes de sécurité d’entreprise : les attaques visant les identités professionnelles démarrent de plus en plus souvent sur les appareils mobiles, en dehors du périmètre couvert par les dispositifs de sécurité traditionnellement centrés sur les postes de travail.
Zimperium Mobile Threat Defense (MTD) analyse de manière dynamique l’activité réseau et les menaces mobiles directement sur l’appareil. Elle permet ainsi aux entreprises de détecter et de bloquer en temps réel les tentatives de vol d’identifiants, notamment celles qui reposent sur des infrastructures de phishing récemment créées, qui ne figurent pas encore dans les flux statiques d’URL et de réputation.
