Une nouvelle attaque de phishing a été identifiée.

Elle permet d’accéder à des informations sur les comptes Office 365 sans obtenir de noms d’utilisateur ni de mots de passe. La campagne parvient également à contourner les contrôles d’authentification multifacteur qui ont été mis en place pour empêcher que des informations d’identification volées soient utilisées pour accéder à distance à des comptes de messagerie électronique à partir de lieux ou de dispositifs inconnus.

La campagne tire profit du cadre OAuth2 et du protocole OpenID Connect qui sont utilisés pour authentifier les utilisateurs d’Office 365.

Les e-mails de phishing comprennent un lien SharePoint malveillant qui est utilisé pour tromper les destinataires de l’e-mail et leur faire accorder des autorisations d’application qui leur permettent d’accéder aux données des utilisateurs sans nom d’utilisateur ni mot de passe.

Les e-mails de phishing sont typiques de plusieurs autres campagnes qui abusent de SharePoint. Ils informent le destinataire qu’un fichier a été partagé avec lui et qu’il doit cliquer sur un lien pour visualiser le fichier. Dans ce cas, le fichier partagé apparaît comme un document PDF.

Le document comprend le texte « q1.bonus » qui suggère que l’utilisateur se voit offrir de l’argent supplémentaire. Cette escroquerie est particulièrement efficace si le nom de l’expéditeur a été usurpé pour faire croire que l’e-mail a été envoyé en interne par le service des ressources humaines ou par un responsable.

En cliquant sur le lien contenu dans un e-mail, un utilisateur avisé est dirigé vers une véritable URL Microsoft Online où il se verra présenter l’invite de connexion familière de Microsoft. Comme le domaine commence par login.microsoftonline.com, l’utilisateur peut croire qu’il atterrit sur un véritable site Microsoft (et c’est le cas) et qu’il est sûr de saisir ses identifiants de connexion (ce qui n’est pas le cas).

La raison pour laquelle il n’est pas sûr peut être vue dans le reste de l’URL (c’est-à-dire l’insertion des lettres « online »). Mais pour de nombreux utilisateurs non vigilants, il ne sera pas clair qu’il s’agit d’une escroquerie.

La saisie du nom d’utilisateur et du mot de passe ne fournit pas les informations d’identification à l’attaquant. En faisant cela, il s’authentifiera auprès de Microsoft et obtiendra un jeton d’accès de la plate-forme d’identité Microsoft.

OAuth2 authentifie l’utilisateur et l’OIDC délègue l’autorisation à l’application malveillante, ce qui signifie que l’application se verra accorder l’accès aux données de l’utilisateur sans jamais recevoir de justificatifs d’identité. Dans ce cas, les données d’authentification sont envoyées à un domaine hébergé en Bulgarie.

L’utilisateur est tenu de saisir à nouveau ses identifiants de connexion et l’application malveillante reçoit les mêmes autorisations qu’une application légitime. L’application pourrait alors être utilisée pour accéder aux fichiers stockés dans le compte Office 365 et pourrait également accéder à la liste de contacts de l’utilisateur, ce qui permettrait à l’attaquant de mener d’autres attaques contre l’organisation et les contacts professionnels de l’utilisateur.

La campagne de phishing a été identifiée par des chercheurs de Cofense. Ces derniers ont déjà averti que l’accès ne doit être accordé qu’une seule fois. Les jetons d’accès ont une date d’expiration, mais cette méthode d’attaque permet aux attaquants de rafraîchir les jetons, ce qui leur donne potentiellement accès aux documents et aux fichiers du compte Office 365 pour une durée indéterminée.

Grâce à l’authentification multifacteur, les entreprises peuvent se sentir immunisées contre les attaques de phishing. L’authentification multifacteur est importante, car elle empêche l’utilisation d’identifiants volés pour accéder à Office 365 et à d’autres comptes. Mais elle n’est pas infaillible, comme le montre cette campagne.

Cette campagne souligne l’importance de disposer d’une solution de sécurité de la messagerie électronique qui utilise une technologie prédictive pour identifier les nouvelles escroqueries de phishing qui n’ont jamais été vues auparavant et qui ne comportent pas de pièces jointes malveillantes. Les attaques de phishing de ce type sont susceptibles de contourner les protections antispam d’Office 365 et d’être envoyées dans les boîtes de réception, et la nature inhabituelle de cette campagne peut tromper les utilisateurs en leur permettant involontairement d’autoriser des pirates à accéder à leurs comptes Office 365.

Pour plus d’informations sur la manière dont vous pouvez sécuriser vos comptes Office 365 et bloquer les attaques de phishing sophistiquées, appelez-nous dès aujourd’hui pour savoir comment SpamTitan peut améliorer vos défenses contre la messagerie électronique.