Les institutions bancaires de d\u00e9tail \u00e0 Singapour ont trois mois pour \u00e9liminer progressivement l’utilisation de mots de passe \u00e0 usage unique (OTP) \u00e0 des fins d’authentification lors de la connexion \u00e0 des comptes en ligne afin d’att\u00e9nuer le risque d’attaques de phishing.<\/p>\n
La d\u00e9cision a \u00e9t\u00e9 annonc\u00e9e par l’Autorit\u00e9 mon\u00e9taire de Singapour (MAS) et l’Association des banques de Singapour (ABS) le 9 juillet 2024.<\/p>\n
\u00ab Les clients qui ont activ\u00e9 leur jeton num\u00e9rique sur leur appareil mobile devront utiliser leurs jetons num\u00e9riques pour se connecter \u00e0 leur compte bancaire via le navigateur ou l’application bancaire mobile \u00bb, pr\u00e9cise le MAS. dit<\/a>.<\/p>\n \u00ab Le jeton num\u00e9rique authentifiera la connexion des clients sans avoir besoin d’un OTP que les escrocs peuvent voler ou inciter les clients \u00e0 divulguer. \u00bb<\/p>\n Le MAS exhorte \u00e9galement les clients \u00e0 activer leurs jetons num\u00e9riques pour se prot\u00e9ger contre les attaques visant \u00e0 voler des informations d’identification et \u00e0 d\u00e9tourner leurs comptes pour commettre des fraudes financi\u00e8res.<\/p>\n \u00ab Cette mesure offre aux clients une protection suppl\u00e9mentaire contre les acc\u00e8s non autoris\u00e9s \u00e0 leurs comptes bancaires \u00bb, a d\u00e9clar\u00e9 Ong-Ang Ai Boon, directeur de l’ABS, dans un communiqu\u00e9. \u00ab Bien qu’elles puissent entra\u00eener certains d\u00e9sagr\u00e9ments, de telles mesures sont n\u00e9cessaires pour aider \u00e0 pr\u00e9venir les escroqueries et \u00e0 prot\u00e9ger les clients. \u00bb<\/p>\n Alors que les OTP ont \u00e9t\u00e9 initialement introduits comme une forme d’authentification \u00e0 deux facteurs (2FA) pour renforcer la s\u00e9curit\u00e9 des comptes, les cybercriminels ont con\u00e7u des chevaux de Troie bancaires, des robots OTP et des kits de phishing capables de r\u00e9colter de tels codes \u00e0 l’aide de sites similaires.<\/p>\n Les bots OTP, accessibles via Telegram et annonc\u00e9s entre 100 et 420 dollars, poussent l’ing\u00e9nierie sociale \u00e0 un niveau sup\u00e9rieur en appelant les utilisateurs et en les convainquant de saisir le code 2FA sur leur t\u00e9l\u00e9phone pour les aider \u00e0 contourner les protections de compte.<\/p>\n Il est important de mentionner que ces robots sont principalement con\u00e7us pour piller le code OTP d’une victime, ce qui n\u00e9cessite que les escrocs obtiennent des informations d’identification valides par d’autres moyens tels que des violations de donn\u00e9es, des ensembles de donn\u00e9es disponibles \u00e0 la vente sur le dark web et des pages Web de collecte d’informations d’identification.<\/p>\n \u00ab La t\u00e2che principale du bot OTP est d’appeler la victime. Les escrocs comptent sur ces appels, car les codes de v\u00e9rification ne sont valables que pendant une dur\u00e9e limit\u00e9e \u00bb, explique Olga Svistunova, chercheuse en menaces chez Kaspersky. dit<\/a> dans un rapport r\u00e9cent.<\/p>\n \u00ab Alors qu’un message peut rester sans r\u00e9ponse pendant un certain temps, appeler l’utilisateur augmente les chances d’obtenir le code. Un appel t\u00e9l\u00e9phonique est aussi l’occasion de tenter de produire l’effet souhait\u00e9 sur la victime avec le ton de la voix. \u00bb<\/p>\n La semaine derni\u00e8re, SlashNext a d\u00e9voil\u00e9 les d\u00e9tails d’un projet \u00ab de bout en bout \u00bb bo\u00eete \u00e0 outils de phishing<\/a> surnomm\u00e9 FishXProxy qui, bien qu’apparemment destin\u00e9 \u00e0 \u00ab\u00e0 des fins \u00e9ducatives uniquement<\/a>” abaisse la barre technique pour les aspirants acteurs de la menace qui cherchent \u00e0 lancer des campagnes de phishing \u00e0 grande \u00e9chelle tout en contournant les d\u00e9fenses.<\/p>\n \u00ab FishXProxy \u00e9quipe les cybercriminels d’un formidable arsenal pour les attaques de phishing par courrier \u00e9lectronique \u00e0 plusieurs niveaux \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 not\u00e9<\/a>\u00ab Les campagnes commencent par des liens g\u00e9n\u00e9r\u00e9s de mani\u00e8re unique ou des pi\u00e8ces jointes dynamiques, contournant ainsi l’examen initial. \u00bb<\/p>\n \u00ab Les victimes sont alors confront\u00e9es \u00e0 des syst\u00e8mes anti-bot avanc\u00e9s utilisant le CAPTCHA de Cloudflare, qui filtre les outils de s\u00e9curit\u00e9. Un syst\u00e8me de redirection intelligent masque les v\u00e9ritables destinations, tandis que les param\u00e8tres d’expiration des pages entravent l’analyse et facilitent la gestion des campagnes. \u00bb<\/p>\n Un autre ajout notable \u00e0 FishXProxy est l’utilisation d’un syst\u00e8me de suivi bas\u00e9 sur des cookies qui permet aux attaquants d’identifier et de suivre les utilisateurs dans diff\u00e9rents projets ou campagnes de phishing. Il peut \u00e9galement cr\u00e9er des pi\u00e8ces jointes malveillantes \u00e0 l’aide de techniques de contrebande HTML qui permettent d’\u00e9chapper \u00e0 la d\u00e9tection par contournement.<\/p>\n \u00ab La contrebande HTML est assez efficace pour contourner les contr\u00f4les de s\u00e9curit\u00e9 du p\u00e9rim\u00e8tre tels que les passerelles de messagerie et les proxys Web pour deux raisons principales : elle abuse des fonctionnalit\u00e9s l\u00e9gitimes de HTML5 et JavaScript, et elle exploite diff\u00e9rentes formes de codage et de cryptage \u00bb, a d\u00e9clar\u00e9 Cisco Talos. dit<\/a>.<\/p>\n L’augmentation des logiciels malveillants mobiles au fil des ans a \u00e9galement incit\u00e9 Google \u00e0 d\u00e9voiler un nouveau programme pilote \u00e0 Singapour qui vise \u00e0 emp\u00eacher les utilisateurs de t\u00e9l\u00e9charger certaines applications qui abusent des autorisations des applications Android pour lire les OTP et collecter des donn\u00e9es sensibles.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/07\/Les-banques-de-Singapour-vont-progressivement-supprimer-les-OTP-pour.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n<\/a><\/center><\/section>\n