L’autorité met en garde contre des piratages ciblant les comptes Microsoft 365, où le service de partage de fichiers Dropbox a été utilisé de manière astucieuse.
Dropbox est un service de partage de fichiers populaire. Adobe Stock / AOP
Centre de cybersécurité de l’agence finlandaise des transports et des communications Traficom avertir sur l’astuce Dropbox utilisée par les criminels, qui a réussi à causer des maux de tête, notamment aux entreprises et à leurs employés.
Le Cyber Security Center indique qu’en août-septembre, il a reçu soixante notifications concernant des violations de comptes Microsoft 365. La pêche aux informations d’identification Microsoft 365 sur le thème Dropbox semble être active en ce moment.
C’est comme ça que ça commence
Selon le Cybersecurity Center, un piratage utilisant Dropbox commence par un e-mail de phishing contenant un lien vers un fichier pdf partagé sur le service Dropbox. Ce fichier, à son tour, contient un autre lien qui mène à un site de recherche d’informations d’identification Microsoft.
Si vous vous connectez à ce site en utilisant vos propres identifiants Microsoft 365, ceux-ci finissent entre les mains de fraudeurs. Après cela, les criminels peuvent également détourner le compte Dropbox de la victime ou créer un nouveau compte avec ses informations et envoyer de nouveaux messages de phishing en son nom.
Le Cyber Security Center affirme que de tels messages de phishing peuvent être envoyés à des milliers de personnes dans les coordonnées du compte utilisateur piraté.
– Alors que restaurer un compte M365 est relativement simple pour une organisation, restaurer un compte Dropbox est plus difficile. L’organisation n’a pas accès à la gestion des comptes, et aucune information sur le mot de passe défini par l’attaquant ou sur la méthode d’identification en plusieurs étapes, prévient le Cyber Security Center.
Possibilité de protection
Le Centre de Cybersécurité propose comme remède contre les arnaques le renforcement de la communication interne de l’entreprise concernant les escroqueries et les messages de phishing en circulation.
Par ailleurs, il rappelle que la mise en place forcée de l’authentification multi-étapes constitue un moyen efficace de protection contre le phishing dans les organisations. Dans ce cas, vous ne pouvez pas vous connecter au compte Microsoft 365 simplement en connaissant le nom d’utilisateur et le mot de passe, mais vous avez également besoin d’une approbation sur un autre appareil pour vous connecter.
– Nous recommandons de vérifier en interne au sein de l’organisation si l’utilisateur doit avoir le droit d’installer différentes applications directement dans l’abonnement Microsoft 365, ajoute-t-il.
Voici à quoi ressemble un e-mail de phishing visant à mettre le compte Dropbox d’un utilisateur entre les mains de criminels. Centre de cybersécurité