Une vaste opération de fraude a été mise au jour, reposant sur de multiples étapes destinées à convaincre les utilisateurs que l'e-mail qu'ils avaient reçu était légitime et provenait réellement du Crédit Agricole. Les chercheurs ont découvert que près d'un millier de victimes avaient ainsi livré leurs identifiants bancaires.

Même si le modèle économique des escrocs du web repose entièrement sur les erreurs numériques commises par le commun des mortels, ils sont eux-mêmes loin d'être à l'abri des faux pas. Le 19 juin, notre équipe de recherche a découvert un serveur accessible publiquement hébergeant une importante opération de phishing se faisant passer pour la banque française Crédit Agricole.

Avec un chiffre d'affaires dépassant les 45 milliards de dollars (39,5 milliards d'euros) et environ 160 000 employés, le Crédit Agricole est l'une des plus grandes institutions financières d'Europe, et la plus grande institution financière coopérative au monde.

Pour les escrocs, en particulier ceux qui se spécialisent dans le phishing, c'est une marque prestigieuse, assortie d'une vaste base de clients potentiels à cibler. Nos découvertes nous donnent une rare occasion de comprendre combien de temps et d'efforts les attaquants consacrent à des opérations visant à usurper l'identité de tels géants financiers.

Après avoir découvert l'infrastructure de ces pirates, notre équipe a contacté le Crédit Agricole et le CERT français pour informer l'entreprise et les autorités compétentes de cet abus. Nous leur avons demandé un commentaire et nous mettrons à jour cet article dès que nous recevrons leur réponse.

Comment fonctionnait l'arnaque au phishing au Crédit Agricole

Ces pirates ne sont manifestement pas des novices en matière de cybercriminalité. Ils étaient par exemple parfaitement conscients que l'envoi d'e-mails de phishing depuis des serveurs suspects aboutirait au blocage de ces mails. Pour contourner les restrictions intégrées, ils ont choisi d'accéder à des infrastructures d'entreprises légitimes.

Selon notre équipe, les cybercriminels ont commencé par rechercher des buckets Amazon Cloud non protégés, cherchant spécifiquement des fichiers d'environnement, des sauvegardes de bases de données, des fichiers de configuration Python, et même des fichiers d'échange Vim contenant des clés SendGrid et AWS SES.

Des entreprises tout à fait légitimes utilisent SendGrid et Amazon SES pour livrer leurs e-mails en volume, comme des factures, des e-mails de réinitialisation de mot de passe, des messages marketing et des notifications. Pour faire simple, ce sont les e-mails de type "[email protected]" que la plupart d'entre nous recevons régulièrement de la part de fournisseurs de services auxquels nous faisons confiance.

C'est pourquoi ces clés SendGrid et AWS SES , tombées entre de mauvaises mains, peuvent être réutilisées pour diffuser des messages de phishing via une infrastructure de confiance, rendant les e-mails frauduleux plus difficiles à bloquer et plus crédibles pour leurs destinataires.

Cependant, les attaquants ne se sont pas arrêtés là. Selon nos chercheurs, une fois que les escrocs ont mis la main sur les plateformes de distribution de courrier, ils n'ont pas immédiatement inondé tout le monde de spam.

Ils ont d'abord utilisé les identifiants volés pour évaluer les limites de débit et les niveaux d'abonnement associés aux comptes compromis, déterminant ainsi quels services détournés pouvaient envoyer le plus de messages de phishing.

« Au moment de notre enquête, la campagne de phishing avait déjà accès à 149 clés API SendGrid volées et trois comptes AWS volés, avec une capacité d'envoi combinée d'environ 7 000 e-mails par jour », expliquent nos experts.

Méticuleux sur le choix des cibles

Cette arnaque de phishing au Crédit Agricole se distingue également par la manière dont les attaquants ont constitué leur liste de cibles. Plutôt que de s'appuyer sur une base de données d'adresses e-mails prête à l'emploi, les pirates semblent avoir cartographié soigneusement les organisations en plusieurs étapes.

« Ils partent d'une liste de départ de 220 000 adresses IP connues pour héberger des sites web, puis cherchent des adresses IP dans le même sous-réseau pour découvrir 250 000 nouvelles IP », explique encore notre équipe.

La liste d'adresses étendue a ensuite été reliée aux noms de domaine associés via des recherches DNS et des journaux de transparence des certificats SSL, puis enrichie avec le top 1 million des domaines mondiaux.

Pour faire simple, les attaquants construisaient une liste plus large de cibles et déduisaient leurs relations. Cela les aide de deux façons : obtenir davantage de victimes potentielles, et identifier qui imiter pour convaincre ces victimes.

Selon l'équipe, les escrocs ne se sont pas arrêtés là. Ils ont continué à filtrer la liste, retirant les plateformes d'hébergement cloud, les IP statiques d'entreprise et les serveurs privés virtuels (VPS) génériques. De cette façon, ils ont probablement cherché à éliminer les honeypots installés par les entreprises de sécurité.

Nos chercheurs indiquent que les attaquants ont ensuite scanné les cibles à la recherche de fichiers de configuration exposés tout en envoyant simultanément des messages de phishing aux employés, dont les coordonnées ont probablement été récupérées via des plateformes commerciales de veille économique légitimes.

L'approche dite « double voie » suggère que les entreprises elles-mêmes n'étaient pas seulement des réservoirs de victimes bancaires potentielles, mais aussi des sources possibles d'infrastructure et de renseignements supplémentaires.

Autrement dit, une organisation ciblée pouvait aider les attaquants de deux manières simultanées. D'abord en fournissant des secrets techniques exposés, puis en fournissant des employés susceptibles d'être attirés vers de fausses pages bancaires.

« Au moment de l'enquête, la base de données du panneau de phishing contenait 912 victimes ayant saisi leurs identifiants dans les formulaires frauduleux, ainsi que 83 paiements effectués aux escrocs », a expliqué l'équipe.

L'e-mail de phishing en français, obtenu par notre équipe, semble avoir incité les utilisateurs à « renouveler l'enregistrement » d'un appareil de confiance sous peine de perdre l'accès à leurs comptes. Pris isolément, ce type d'e-mail pourrait être suspect, mais l'histoire est différente si l'adresse de l'expéditeur semble provenir d'une entreprise totalement légitime.

Ce qui rend l'histoire encore plus intéressante, c'est que l'analyse de l'infrastructure et des outils utilisés pour cette opération a révélé que les pirates ont eu la patience de ne pas exploiter les identifiants bancaires de façon trop évidente.

« Ce que nous avons constaté, c'est que les identifiants bancaires n'étaient utilisés que pour obtenir des données supplémentaires sur la victime, la principale façon de gagner de l'argent étant d'appeler les victimes et d'utiliser des techniques d'ingénierie sociale pour les inciter à payer pour un faux service », a expliqué notre équipe.

Selon nos chercheurs, une analyse du back-end du panneau de phishing montre qu'il utilisait automatiquement les identifiants volés de la victime pour extraire les informations suivantes du compte :

• Solde restant
• Nom de l'agence locale
• Nom du conseiller bancaire

L'équipe en a déduit que ces informations leur permettaient d'identifier les cibles de valeur et de tromper les victimes en leur faisant croire qu'elles parlaient avec des employés du Crédit Agricole.

Des escrocs en compétition entre eux

Non seulement le dispositif a nécessité du temps et des efforts pour être mis en place, mais les pirates semblent également s'être encouragés mutuellement en utilisant des tactiques très… corporate. Ils effectuaient notamment un classement. Comme pour désigner qui serait l'employé du mois.

« Le panneau de phishing contenait également un classement permettant aux opérateurs de phishing de rivaliser entre eux pour savoir qui pouvait gagner le plus en exploitant à leurs victimes », ont expliqué nos chercheurs.

Au moment de l'enquête, l'équipe a noté que le panneau de phishing était configuré pour prendre en charge plusieurs opérateurs de phishing, avec 7 comptes enregistrés. Les captures d'écran prises par notre équipe du tableau de bord des panneaux indiquent que le prix pour l'escroc le plus performant s'élevait à 3 000 €.

Ce qui rend la découverte intéressante, c'est l'échelle industrielle qui la sous-tend. Les attaquants semblent avoir combiné le scan de secrets exposés, le vol d'outils légitimes de distribution d'e-mails, la cartographie d'internet, le ciblage d'employés et la monétisation du phishing au sein d'un seul système.

Pour les victimes, les risques sont évidents. Les personnes ayant saisi leurs identifiants peuvent faire face à un piratage de compte, des transactions frauduleuses ou des attaques d'ingénierie sociale. Parallèlement, les entreprises dont les identifiants de messagerie ou cloud ont été abusés peuvent subir des dommages de réputation, une interruption de service et une nouvelle exposition si d'autres secrets restent accessibles publiquement.

Nos conclusions soulignent également un problème de sécurité douloureusement évident : les organisations et entreprises françaises continuent de laisser des fichiers sensibles exposés dans des systèmes accessibles depuis internet, livrant involontairement aux pirates les outils nécessaires pour mener des campagnes de fraude.