Entreprises financières ciblées : des pirates usurpent le support IT pour voler des donnée
Une voix convaincante au téléphone, une fausse mission de support informatique et un code d’authentification multifactorielle dérobé plus tard : votre compte cloud d’entreprise n’est plus le vôtre. C’est ainsi que le groupe de pirates suivi par le Google Threat Intelligence Group (GTIG) sous le nom d’UNC6671 a discrètement siphonné des données dans plus de 200 organisations, parmi lesquelles des géants comme Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital et Moody’s.
Une arnaque à grande échelle
Les attaquants ne se contentent pas d’inonder les boîtes mail ; ils appellent directement les employés sur leurs téléphones personnels, usurpent le numéro du vrai support IT et inventent une histoire de « migration de sécurité obligatoire » ou de « mise à jour urgente des clés d’accès ». Une fois l’employé redirigé vers un faux sous-domaine ressemblant – par exemple [entreprise].createssopasskey[.]com – on lui demande son mot de passe. Le piège : l’appelant reste en ligne, récupère le code à deux facteurs en temps réel et se connecte avant que l’appel ne se termine. Au moment où la victime raccroche, l’intrus est déjà dans le cloud, fouillant dans Microsoft 365 ou Okta. Dans certains cas, les entreprises ont payé une rançon pour éviter la divulgation de données volées.
D’une marque d’extorsion à une autre
Malgré des changements de nom comme Redact, Pink, Helix et Falcon – voire une annonce de fermeture de son site BlackFile –, les tactiques et l’infrastructure du groupe sont restées identiques. L’analyse de Google révèle que des paiements continuaient à être versés dans des portefeuilles Bitcoin liés à l’opération bien après l’annonce de « retrait », soulignant une transition plutôt qu’un repli. Les cibles étaient sélectionnées moins pour leur taille que pour leur volonté de payer pour éviter des fuites, faisant des sociétés de capital-investissement et des institutions financières des proies idéales.
Pourquoi cela compte
Ce n’est pas qu’une simple alerte d’hameçonnage de plus – c’est un modèle pour contourner les défenses modernes d’authentification multifactorielle. En combinant l’ingénierie sociale, l’usurpation d’identifiant d’appelant et la récupération en direct des identifiants, UNC6671 a transformé la ligne du support technique en cheval de Troie. Pour les entreprises financières, le message est clair : vérifier les demandes vocales hors bande, désactiver les facteurs secondaires par SMS lorsque c’est possible, et auditer les journaux cloud pour détecter les connexions inhabituelles. Le coût d’un seul appel réussi peut dépasser largement celui des contrôles de vérification en couches.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.