De nombreuses attaques récentes, traitées par le CSIRT-BFC, ont permis à des attaquants de s’introduire dans des systèmes de messagerie. Un compte de messagerie est compromis lorsqu’une personne autre que son propriétaire légitime, a accès au compte sans en avoir l’autorisation.
Comment les cybercriminels procèdent-ils ?
Les cybercriminels peuvent obtenir cet accès via des attaques de phishing, des mots de passe faibles ou des vulnérabilités de sécurité.
Voici le mode opératoire des cybercriminels concernant les compromissions de compte de messagerie traitées par le CSIRT-BFC.
Étape 1 : L’attaquant compromet la messagerie en ligne via un courriel d’hameçonnage conduisant l’utilisateur à cliquer sur un lien. Ce lien renvoi sur une page authentification Microsoft qui invite la personne à se ré-authentifier et récupère alors identifiant et mot de passe.
Étape 2 : L’attaquant utilise les accès récoltés pour se connecter au compte puis envoi des mails d’hameçonnage à tous le carnet d’adresses pour continuer à compromettre d’autres comptes de messageries.
Comment se protéger contre le hameçonnage ?
- Vérifier l’adresse mail expéditrice ;
- Avant de cliquer sur un lien douteux, positionnez le curseur de votre souris sur ce lien ;
- Méfiez-vous des demandes urgentes ou inattendues ;
- En cas de doute, transférer le mail suspect en tant que pièce-jointe à l’adresse courriel-douteux@csirt-bfc.fr pour qu’il soit analysé par le CSIRT-BFC ;
- En cas de doute, contactez si possible directement l’organisme concerné via un autre canal que le mail.
Que faire en cas de compromission de compte de messagerie ?
- Identifier l’origine de la compromission du compte de messagerie ;
- Réinitialiser le mot de passe ;
- Analyser et supprimer les règles de gestion (transfert de mail vers un autre compte, …) ;
- Sécuriser davantage le compte de messagerie (mots de passe forts, MFA) ;
- Informer les destinataires des messages afin d’éviter que l’attaque ne se propage ;
- Documenter la violation de données et de la notifier à la CNIL ;
- Contacter votre CSIRT régional ;
- Porter plainte à la gendarmerie.
Retrouvez les fiches réflexes sur la compromission de comptes de messageries écrite par l’InterCERT France : Fiche Qualification – Fiche Endiguement