Dans un message d'intérêt public, le Federal Bureau of Investigation (FBI) et la Cybersecurity and Infrastructure Security Agency (CISA) mettent en garde le public contre des campagnes de hameçonnage actuellement menées par des acteurs liés à la Russie, qui visent à accéder à des comptes de messagerie.
Au début du mois, nous avons évoqué une campagne de phishing à grande échelle visant à pirater les comptes Signal et WhatsApp de hauts responsables, de militaires, de fonctionnaires et de journalistes.
Aujourd'hui, le FBI et la CISA se joignent aux services de renseignement européens pour signaler que ces mêmes tactiques sont utilisées dans le cadre d'une campagne plus vaste visant ces applications de messagerie commerciale. L'objectif n'est pas de contourner chiffrement de bout en bout, mais de le contourner directement en s'emparant des identifiants de comptes individuels.
Dans notre précédent article, nous nous sommes intéressés aux alertes émises par les services de renseignement néerlandais AIVD et MIVD, qui décrivaient comment des acteurs soutenus par l’État russe approchaient des cibles de grande valeur via Signal et WhatsApp, en se faisant passer pour « Signal Support », « Signal Security Bot » ou d’autres identités similaires. Le PSA montre comment ces mêmes groupes mènent désormais des campagnes mondiales de phishing visant les comptes d’applications de messagerie, des éléments indiquant que des milliers de comptes ont été compromis à travers le monde.
Il est important de rappeler que les pirates n'ont pas réussi à contourner le chiffrement de bout en bout des applications. Ils ont plutôt recours à l'ingénierie sociale pour faire ajouter un appareil à la liste, ce qui leur permet d'espionner les comptes.
Les cibles actuelles comprennent des responsables actuels et anciens du gouvernement américain, des militaires, des personnalités politiques et des journalistes, mais rien n'empêche que ces mêmes techniques soient réutilisées contre des entreprises et des utilisateurs lambda.
Ainsi, même s’il est tentant de considérer cela comme un problème réservé aux diplomates et aux généraux (et les agences qui publient ces alertes mentionnent effectivement en premier lieu des cibles de premier plan), ces techniques sont très facilement adaptables. Une fois que de tels manuels sont rendus publics, ils ont tendance à être copiés par des cybercriminels à la recherche de nouveaux moyens de voler de l’argent ou de pirater des comptes.
Comment protéger vos comptes
Comme le dit le message d'intérêt public :
« Le phishing reste l'un des moyens les plus rudimentaires, mais aussi les plus efficaces, de compromettre la sécurité informatique, rendant souvent les autres mesures de protection inutiles. »
Cette demande requiert des mesures de sécurité élémentaires :
- Considérez par défaut comme suspects les messages non sollicités provenant du « service d'assistance » au sein des applications. Le service d'assistance officiel d'applications telles que Signal et WhatsApp ne vous demande jamais, dans un message de chat, de renvoyer des codes de vérification, des codes PIN ou des mots de passe. Si vous recevez un avertissement concernant des problèmes liés à votre compte, ne cliquez pas sur les liens contenus dans le message. Ouvrez directement les paramètres de l'application ou rendez-vous sur le site web officiel par d'autres moyens.
- Ne communiquez jamais vos codes de vérification par SMS ni vos codes PIN d'application. Les codes par SMS servent à prouver que vous êtes bien le propriétaire d'un numéro de téléphone. Quiconque dispose de ce code peut se faire passer pour vous. Les codes PIN ou mots de passe spécifiques à une application servent à protéger les modifications apportées à votre compte. Les divulguer revient à remettre les clés de votre compte. Considérez toute personne qui vous les demande comme un escroc.
- Faites attention à ce dont vous parlez et à qui vous vous confiez. Les recommandations néerlandaises et américaines nous rappellent que, même avec chiffrement de bout en bout, certaines conversations sont trop sensibles pour être échangées sur des applications de messagerie instantanée grand public.
- Tirez parti des fonctionnalités de sécurité supplémentaires proposées par ces applications. Activez des options telles que le verrouillage de l'inscription, le code PIN d'inscription et les alertes en cas de changement d'appareil afin d'empêcher toute réinscription discrète de votre compte sans mot de passe supplémentaire. Enregistrez votre code PIN dans un gestionnaire de mots de passe plutôt que de choisir un code facile à deviner ou de réutiliser un code courant, afin de réduire les risques d'ingénierie sociale oud'espionnage par-dessus l'épaule.
- Une autre fonctionnalité utile est celle des messages éphémères. Les messages à durée limitée et les messages éphémères réduisent la quantité de contenu accessible si un pirate parvient à se connecter à une conversation a posteriori, ou si quelqu'un obtient un accès prolongé à un appareil ou à une sauvegarde. Ils ne constituent pas une solution miracle, mais ils peuvent limiter les dégâts.
Que faire si vous pensez que votre compte a été piraté ?
Si vous pensez qu'un pirate a pris le contrôle de votre compte de messagerie :
- Essayez de réenregistrer immédiatement votre numéro dans l'application pour déconnecter les autres appareils.
- Supprimez tous les appareils associés et modifiez les codes PIN ou les codes de verrouillage spécifiques à chaque application.
- Prévenez vos contacts qu'une personne pourrait s'être fait passer pour vous et demandez-leur de faire preuve de prudence face aux messages récents.
- Passez en revue les conversations récentes afin de détecter tout signe de vol de données (par exemple, des identifiants, des documents ou des mots de passe partagés qui doivent désormais être considérés comme compromis).
- Signalez l'incident au fournisseur de l'application et, le cas échéant, aux centres nationaux de signalement tels que l'Internet Crime Complaint Center (IC3) du FBI, accessible à l'adresse ic3.gov, ou à l'autorité compétente de votre pays.
Plus vous agissez rapidement, plus le délai pendant lequel les pirates peuvent exploiter votre compte est court.
Nous ne nous contentons pas d'informer sur la sécurité des téléphones, nous la fournissons.
Les risques de cybersécurité ne devraient jamais se propager au-delà d'un titre. Éloignez les menaces de vos appareils mobiles en téléchargeant dès aujourd'hui Malwarebytes pour iOS et Malwarebytes pour Android.
