Plus de 100 000 Personnes ont été Piégées par une Nouvelle Campagne de Spam

D'après Statista, nous envoyons et recevons en moyenne plus de 280 milliards de messages électroniques chaque jour. Toute analyse d'une telle quantité d'informations astronomiques ne serait pas une tâche facile, mais malgré cela, les chercheurs ont estimé qu'environ la moitié de ces e-mails pouvaient être classés comme spam.

La plupart d’entre nous aiment croire que nous n’avons aucun problème à distinguer un e-mail de spam d’un message électronique réel. En effet, on peut sans doute affirmer que les utilisateurs les plus expérimentés ont appris à ignorer les messages provenant du Prince nigérian ainsi que ceux promouvant des produits et des services susceptibles d'améliorer votre vie amoureuse.

Cela étant dit, certains spams non désirés sont plus intelligents. Bob Diachenko, chercheur en sécurité, et Zack Whittaker de TechCrunch, par exemple, ont récemment examiné une campagne de spam destinée aux utilisateurs britanniques. Ils ont découvert qu'entre le 8 et le 18 mars, les spammeurs ont réussi à tromper plus de 100 000 personnes en leur demandant de mordre à l'hameçon.

Comment inciter 100 000 personnes à cliquer sur un lien présent dans un courrier indésirable?

Ce qui donne à la campagne sa finesse, c'est qu’elle était relativement simple, tant du point de vue de l’ingénierie sociale que de l’aspect technique. Voici comment cela fonctionnait.

Tout d'abord, les spammeurs utilisent des identifiants de connexion volés pour se connecter aux comptes de messagerie de victimes innocentes. Ils récupéraient ensuite certains des messages récemment envoyés et les transmettaient à leurs propres serveurs. Un script automatisé prendrait l'adresse e-mail du destinataire et l'objet et composerait un nouveau message qui semblait provenir du propriétaire du compte compromis. Quand les spammeurs fondent la connexion via un serveur proxy composé de plusieurs téléphones mobiles connectés à Internet, ils utiliseraient à nouveau les noms et les mots de passe utilisateur volés pour se connecter au serveur de messagerie de l'expéditeur et enverraient le message généré automatiquement au destinataire.

Au total, 3 millions de comptes de messagerie ont été compromis et, bien que Diachenko et Whittaker n’aient pas été en mesure d’évaluer le nombre exact de messages envoyés, ils ont précisé que l’opération décrite ci-dessus était répétée « des centaines de fois par seconde ».

Diachenko et Whittaker ont réussi à consulter l'un des courriels et ils ont tout de suite compris pourquoi un tel grand nombre de gens étaient tombés dans le piège. Le courrier électronique provenait apparemment d'une personne connue au destinataire, il contenait leur nom et l'objet qui indiquaient que c'était une continuation de communication précédente. Il n'y avait rien d'évident pour indiquer que cliquer sur le lien est risqué.

Un lien redirigerait les utilisateurs sur plusieurs sites Web et déterminerait leur géolocalisation. Les citoyens américains débarqueraient sur une page faisant la promotion d'un faux remède, et les britanniques seraient redirigés sur une fausse page de BBC qui les mènerait finalement à une arnaque en bitcoin. Comme nous l'avons déjà mentionné, la plupart des destinataires venaient du Royaume-Uni.

Bien que cette campagne se soit indéniablement déroulée sous le signe du succès, on ne parle de la plus grande arnaque ou la plus puissante au monde. Néanmoins, l'examen mené par Bob Diachenko et Zack Whittaker nous donne une assez bonne idée de ce à quoi ressemble une véritable opération de spam. Mais comment ont-ils accédé à toutes ces informations?

Les spammeurs ne parviennent pas à protéger leurs propres données

Les lecteurs assidus de nos articles d'information connaissent probablement Bob Diachenko. En septembre 2018, il a découvert que le fournisseur de solutions de gestion des données Veeam avait laissé certaines des données de ses clients dans une base de données accessible partout en tout temps. En janvier, il a trouvé une autre base de données non protégée, contenant les CV de plus de 200 millions de demandeurs d’emploi chinois. Quelques jours plus tard, Diachenko a uni ses forces à celles de Zack Whittaker pour analyser un autre serveur faisant face à Internet et qui n'était pas verrouillé par un mot de passe. Le serveur exposé contenait « une mine d'or » de noms, adresses, numéros d'assurance sociale et informations de crédit appartenant à un nombre inconnu d'individus.

Comme vous pouvez le constater, Bob Diachenko est en quelque sorte un expert dans la recherche d’installations de bases de données et de serveurs mis en ligne sur Internet et qui ne sont protégés en aucune mesure. Voici comment il a perçu la campagne de spam décrite ci-dessus.

Les spammeurs ont utilisé une base de données nommée Elasticsearch pour garder une trace de leurs données, et les mécanismes ont été bien documentés, ce qui a permis à Diachenko et Whittaker de voir comment tout cela se déroulait. Il y avait même un tableau de bord qui leur disait combien de spams avaient été envoyés avec succès, combien avaient été renvoyés et combien d'utilisateurs avaient cliqué sur les liens. En outre, le serveur non protégé contenait les noms et les mots de passe utilisateur volés qui permettaient aux spammeurs de compromettre plus de 3 millions de comptes e-mail. Toutes ces données étaient disponibles pour quiconque qui savait où rechercher.

Les identifiants compromis ont été donnés à Troy Hunt qui les a chargés dans Have I Been Pwned. Bien que le service de notification d'infractions compte près de 8 milliards de comptes, 55% des adresses de messagerie sont totalement nouvelles. Pour l'instant du moins, personne ne peut dire comment les noms et les mots de passe utilisateur ont été volés.

Malheureusement, lorsque Diachenko est tombé sur le serveur des spammeurs, la campagne était déjà terminée. Toutefois, l'hébergeur a été informé et le serveur a été mis hors ligne.

Les serveurs et bases de données mal configurés constituent un réel problème pour les organisations légitimes chargées de traiter les données des personnes. Une récente étude de 4iQ a révélé que près des deux tiers des informations personnelles exposées qui sont échangées en ligne étaient volées sur des appareils accessibles à toute personne disposant d'une connexion Internet. La dernière découverte de Bob Diachenko montre que même les escrocs ne sont pas à l'abri de faire des erreurs stupides.