Microsoft Office 365 est aujourd’hui le service cloud le plus prisé par les entreprises. Un employé d’entreprise sur cinq l’utilise actuellement et, selon Gartner, 56% des entreprises qui ont recours aux services cloud utilisent Office 365.
Toute plateforme qui attire un très grand nombre d’utilisateurs est une cible majeure pour les cybercriminels. Les pirates informatiques mettent au point des méthodes novatrices pour attaquer les entreprises et contourner les protections d’Office 365 afin que leurs emails de phishing soient livrés dans les boîtes de réception des employés.
Plusieurs campagnes de phishing connues sont testées sur des comptes Office 365 authentiques pour s’assurer que les attaques soient bloquées avant qu’elles ne soient réellement menées sur les utilisateurs professionnels. Mais la protection Exchange Online Protection (EOP) de Microsoft n’est pas suffisante pour bloquer ces menaces. Les utilisateurs doivent payer plus pour bénéficier d’une protection avancée afin de bloquer les escroqueries de phishing sophistiquées dont le nombre ne cesse d’augmenter.
Quatre campagnes ont été récemment identifiées. Elles utilisent de nouvelles tactiques pour échapper à la détection d’Office 365 et tromper les utilisateurs finaux afin qu’ils divulguent leurs identifiants de connexion.
Des pages d’erreur 404 personnalisées ont été utilisées pour héberger des formulaires de phishing
Les chercheurs de Microsoft ont identifié une nouvelle tactique utilisée dans une campagne de phishing ciblant Office 365. Elle utilise des pages d’erreur 404 pour héberger des formulaires de phishing.
D’une manière générale, la page d’erreur 404 s’affiche lorsqu’un utilisateur tente de visiter un site web qui n’existe pas. En personnalisant la page 404 et en l’utilisant pour héberger un formulaire de phishing, les pirates disposent d’un nombre pratiquement illimité d’URL pour lancer des attaques. N’importe quelle URL afficherait la page 404 ainsi que le formulaire de phishing, et de nombreuses solutions de sécurité de messagerie ne peuvent pas détecter le lien comme étant malveillant.
Des notifications de messagerie vocale ont été utilisées comme leurre dans des campagnes de phishing avec Office 365
Récemment, les chercheurs d’Avanan ont également identifié une campagne de phishing qui utilise les notifications par messagerie vocale comme leurre dans le but d’obtenir des identifiants de connexion Office 365. Les emails incluent les logos de Microsoft Office 365 et la notification de l’heure d’un appel, du numéro de l’appelant et de la longueur du message vocal.
Le texte et les logos sont combinés en trois images dans l’email et un fichier HTML est joint en pièce jointe. L’email prétend qu’il s’agit du contenu du message vocal. Si elle est ouverte, la pièce jointe HTML utilise le meta refresh pour rediriger la victime depuis la page HTML stockée localement vers une page hébergée sur Internet où il est présenté avec une boîte de connexion à Office 365. Les informations d’identification sont nécessaires pour écouter le message via le système de gestion de la messagerie vocale falsifiée.
Des justificatifs d’identité des comptes administrateur de Microsoft Office 365 ont été ciblés
Les justificatifs d’identité de Microsoft Office 365 sont d’une importance capitale, mais les plus précieux sont ceux des administrateurs. Un employé peut disposer d’un compte de messagerie électronique contenant des données sensibles. Ses informations d’identification peuvent permettre l’accès à un nombre limité de ressources dans le cloud. En effet, un ensemble d’informations d’identification d’administrateur donnerait à un attaquant la possibilité de créer de nouveaux comptes, d’accéder aux comptes d’autres utilisateurs, d’envoyer des messages à partir de leurs comptes de messagerie et d’accéder à un éventail beaucoup plus large de ressources.
Les administrateurs d’Office 365 ont été ciblés dans le cadre d’une campagne de phishing utilisant des alertes pour les amener à divulguer leurs informations d’identification. Deux des leurres les plus courants font référence à un problème critique avec le service de messagerie électronique et à la découverte d’un incident d’accès non autorisé à une ressource.
Les attaques utilisent les informations d’identification en temps réel
Une autre campagne de phishing a été détectée dans laquelle les pirates utilisent les données saisies dans de faux formulaires de connexion Office 365 pour leur permettre d’accéder au véritable compte Office 365 en temps réel. Bien entendu, avec le faux formulaire, l’utilisateur va échouer lorsqu’il essaie de se connecter à son compte légitime. Il reçoit donc un avertissement qui lui demande de saisir à nouveau ses identifiants. Lorsque les informations d’identification correctes ont été confirmées, l’utilisateur est redirigé vers sa véritable boîte de réception Office 365, très probablement sans savoir que ses informations d’identification ont été volées.
Ces quatre nouvelles tactiques ont été utilisées par les cybercriminels pour accéder aux identifiants Office 365 des utilisateurs professionnels. En l’absence de moyens de protection avancés contre le phishing, bon nombre d’emails malveillants seront envoyés dans les boîtes de réception des utilisateurs finaux.
La formation de sensibilisation à la sécurité des employés contribuera grandement à renforcer votre dernière ligne de défense. Pourtant, si la majorité des menaces par email ne sont pas bloquées, il y aura toujours des risques d’atteintes à la protection des données. Cela signifie que les entreprises devront payer plus pour obtenir la fonction avancée d’Office 365. Pourtant, elles ont une autre alternative, à savoir utiliser une solution anti-spam et anti-phishing tierce.
Lorsque SpamTitan est superposé à Office 365, les entreprises seront protégées contre toute la gamme des menaces basées sur la messagerie électronique. Les techniques avancées de phishing comme celles décrites ci-dessus pourront donc être détectées et neutralisées.
La solution de filtrage DNS de TitanHQ, WebTitan, ajoute une autre couche de sécurité pour protéger votre entreprise et vos employés contre les attaques de phishing. WebTitan bloque toutes les pages web malveillantes connues et recherche les contenus malveillants sur les nouveaux sites web. Ainsi, les menaces pourront être détectées et les pages web malveillantes seront bloquées avant qu’un contenu puisse être téléchargé.
Pour plus d’informations sur la sécurisation des comptes Office 365 et sur l’amélioration de vos défenses anti-phishing, contactez l’équipe TitanHQ dès aujourd’hui.