Voici un cas intéressant rapporté par le spécialiste en sécurité Barracuda sur les dangers de l’utilisation d’emails non authentifiés pour des transactions financières.
Le PC du contrôleur financier d’une entreprise a été infecté par un malware qui a envoyé une copie de chacun de ses emails reçus vers une autre adresse email sur un compte d’email gratuit.
La surveillance des mails
L’escroc sur ce compte d’email non autorisé s’est alors contenté de surveiller les emails du contrôleur financier pendant une courte période avant d’agir. Rapidement, il a identifié un email concernant une transaction financière suffisamment intéressante pour déclencher son attaque.
La création d’un faux email
Utilisant des informations à partir des emails qu’il surveillait, il a créé un faux email à partir du fournisseur, avec un en tête Re : (Répondre à) pour détourner les réponses vers lui.
Exploitant son avantage, pendant les deux semaines suivantes, l’escroc s’est inséré dans des conversations concernant d’autres transactions financières, usurpant d’abord l’identité d’une des parties, puis de l’autre, détournant soigneusement les réponses vers sa propre adresse email. La véritable conversation email entre l’entreprise et son fournisseur était mentionnée dans l’email de l’escroc.
L’exploitation détournée de vrais documents
Lorsqu’on lui demandait pourquoi le compte bancaire du fournisseur était dans une banque étrangère peu connue, l’escroc attachait des images de documents signés « autorisant » le changement. Les lettres d’autorisation et les signatures avaient été récupérées sur des documents similaires attachés à des emails précédents que le contrôleur avait reçus.
A un moment donné, certains employés ont fini par recevoir la preuve d’une des usurpations de leur propre identité par l’escroc, et l’alarme a été donnée. Mais l’escroc a pu récupérer une importante somme d’argent avant que son stratagème ne soit découvert.
De multiples vulnérabilités ont été exploitées dans cet exemple
Tout d’abord, le malware sur le PC du contrôleur financier a fourni à l’escroc une table d’écoute sur les flux financiers de l’entreprise qui lui a donné les informations nécessaires pour monter son piège. Deuxièmement, sa capacité à usurper l’identité d’employés de l’entreprise et de personnes avec lesquelles ils correspondaient régulièrement lui a permis d’atteindre ses cibles.
Un autre cas à lire en anglais ici.
