Nos collègues les plus séniors se souviendront peut-être des campagnes régulières de « clics » qui visaient à sensibiliser le personnel et les utilisateurs à la sécurité au sein de l’Organisation. Avec le déploiement de l’authentification à deux facteurs, ces campagnes ont été abandonnées. Cependant, le monde continue de tourner et de nouvelles fonctionnalités et de nouveaux vecteurs d’attaque tentent de contourner nos protections. Et ils y sont parvenus, cette fois-ci !

Arrivé dans la boîte aux lettres d’un collègue malchanceux, un courriel qui semblait innocent a reçu la réponse habituelle. L’objet et le contenu correspondaient à ce qui était attendu, comme dans les deux exemples ci-dessous :

En cliquant sur le lien vers un document Word contenu dans le courriel sans remarquer qu’il pointait vers un domaine obscur sans lien avec le CERN (voir ci-dessous), une page de renvoi s’ouvrait et affichait un « code de vérification » spécifique à saisir sur une autre page web (semblable au code que vous obtenez lorsque vous utilisez Netflix sur un nouvel appareil). Ce code, qui constitue l’élément crucial de l’attaque, est conçu pour donner un accès complet au compte de la victime : en copiant le « code de vérification » (capture d’écran de gauche) sur la page web suivante afin d’« autoriser l’accès » (capture d’écran de droite), le compte de la victime était compromis, prêt à être piraté. Boum !

En coulisses, l’attaque bénéficie d’une configuration du cloud Microsoft qui utilise une « authentification par code de périphérique ». En gros, il s’agit d’un jeton installé localement, valable 90 jours, qui vous facilite la vie en ne vous obligeant pas à vous connecter quotidiennement aux services cloud Microsoft. Mais il facilite également la vie d’un pirate en éliminant les inconvénients de l’authentification à deux facteurs du CERN… Re-boum !

Maintenant que l’on accède à la boîte aux lettres de la victime, un automatisme d’intelligence artificielle se met en place, identifiant une pléthore de nouvelles adresses électroniques comme cibles potentielles, reliant ces cibles une à une à des appâts vraisemblables (comme les « commandes en retard » ou le « Q’2 EMEA Project » dans les captures d’écran ci-dessus) et propageant l’attaque à plus de 5000 destinataires au CERN… dont 108 autres ont cliqué… Boum, re-boum, et re-re-boum !

108 détenteurs de comptes voient ainsi leur jeton en nuage Microsoft révoqué, ce qui les oblige à se reconnecter via le système d’authentification unique du CERN protégé par la 2FA. Mais ce n’est pas suffisant. Alors que le Bureau de la sécurité informatique étudie d’autres moyens de se protéger contre ce type d’attaques (désactiver l’authentification par code d’appareil, réduire les « 90 jours », limiter le nombre de courriels envoyés par jour ?), le CERN compte également sur vous : même si un courriel peut sembler légitime, restez vigilants ! Placez le pointeur de votre souris sur n’importe quelle URL, n’importe quel lien ou n’importe quel code QR pour vérifier leur destination, et ARRÊTEZ-VOUS – RÉFLÉCHISSEZ – NE CLIQUEZ PAS ! En particulier, si cette destination vous est peu familière, inattendue, inconnue ou tout simplement bizarre (comme dans la capture d’écran ci-dessous, avec un « mata-asia[.]com » inattendu) :

________

Pour en savoir plus sur les incidents et les problèmes en matière de sécurité informatique au CERN, lisez nos rapports mensuels. Si vous souhaitez avoir plus d’informations, poser des questions ou obtenir de l’aide, visitez notre site ou contactez-nous à l’adresse : Computer.Security@cern.ch.

Traduction générée par un outil de traduction automatique entraîné, en phase de test.