Twilio, qui est devenu plus t\u00f4t ce mois-ci une attaque de phishing sophistiqu\u00e9e, a r\u00e9v\u00e9l\u00e9 la semaine derni\u00e8re que les acteurs de la menace avaient \u00e9galement r\u00e9ussi \u00e0 acc\u00e9der aux comptes de 93 utilisateurs individuels de son service d’authentification \u00e0 deux facteurs (2FA) Authy.<\/p>\n
La soci\u00e9t\u00e9 d’outils de communication a dit<\/a> l’acc\u00e8s non autoris\u00e9 a permis \u00e0 l’adversaire d’enregistrer des appareils suppl\u00e9mentaires sur ces comptes. Il a depuis identifi\u00e9 et supprim\u00e9 les appareils ajout\u00e9s de mani\u00e8re ill\u00e9gitime des comptes concern\u00e9s.<\/p>\n Authy, acquis par Twilio en f\u00e9vrier 2015, permet s\u00e9curisation des comptes en ligne<\/a> avec une deuxi\u00e8me couche de s\u00e9curit\u00e9 pour emp\u00eacher les attaques de prise de contr\u00f4le de compte. On estime qu’il compte pr\u00e8s de 75 millions d’utilisateurs.<\/p>\n Twilio a en outre not\u00e9 que son enqu\u00eate au 24 ao\u00fbt 2022 avait r\u00e9v\u00e9l\u00e9 163 clients concern\u00e9s, contre 125 signal\u00e9s le 10 ao\u00fbt, dont les comptes auraient \u00e9t\u00e9 pirat\u00e9s pendant une p\u00e9riode limit\u00e9e.<\/p>\n Outre Twilio, la campagne tentaculaire, surnomm\u00e9e 0ktapus par Group-IB, aurait frapp\u00e9 136 entreprises, dont Klaviyo, MailChimp, et une attaque infructueuse contre Cloudflare qui a \u00e9t\u00e9 contrecarr\u00e9e par l’utilisation par l’entreprise de jetons de s\u00e9curit\u00e9 mat\u00e9riels.<\/p>\n Les entreprises cibl\u00e9es couvrent les secteurs de la technologie, des t\u00e9l\u00e9communications et de la crypto-monnaie, la campagne utilisant un kit de phishing pour capturer les noms d’utilisateur, les mots de passe et les mots de passe \u00e0 usage unique (OTP) via des pages de destination malveillantes qui imitaient les pages d’authentification Okta des organisations respectives.<\/p>\n Les donn\u00e9es ont ensuite \u00e9t\u00e9 secr\u00e8tement achemin\u00e9es vers un compte Telegram contr\u00f4l\u00e9 par les cybercriminels en temps r\u00e9el, ce qui a permis \u00e0 l’acteur de la menace de pivoter et de cibler d’autres services dans ce qu’on appelle une attaque de la cha\u00eene d’approvisionnement visant Signal et Okta, \u00e9largissant efficacement la port\u00e9e et l’\u00e9chelle. des intrusions.<\/p>\n Au total, l’exp\u00e9dition de phishing aurait rapport\u00e9 \u00e0 l’acteur de la menace au moins 9 931 identifiants d’utilisateur et 5 441 codes d’authentification multifactoriels.<\/p>\n Okta, pour sa part, confirm\u00e9<\/a> le vol d’informations d’identification a eu un effet d’entra\u00eenement, entra\u00eenant l’acc\u00e8s non autoris\u00e9 \u00e0 un petit nombre de num\u00e9ros de t\u00e9l\u00e9phone mobile et aux messages SMS associ\u00e9s contenant des OTP via la console d’administration de Twilio.<\/p>\n D\u00e9clarant que les OTP ont une p\u00e9riode de validit\u00e9 de cinq minutes, Okta a d\u00e9clar\u00e9 que l’incident impliquait que l’attaquant recherchait directement 38 num\u00e9ros de t\u00e9l\u00e9phone uniques sur la console – presque tous appartenant \u00e0 une seule entit\u00e9 – dans le but d’\u00e9tendre leur acc\u00e8s.<\/p>\n “L’acteur de la menace a utilis\u00e9 des identifiants (noms d’utilisateur et mots de passe) pr\u00e9c\u00e9demment vol\u00e9s dans des campagnes de phishing pour d\u00e9clencher des d\u00e9fis MFA par SMS, et a utilis\u00e9 l’acc\u00e8s aux syst\u00e8mes Twilio pour rechercher des mots de passe \u00e0 usage unique envoy\u00e9s dans ces d\u00e9fis”, a th\u00e9oris\u00e9 Okta.<\/p>\n Okta, qui suit le groupe de piratage sous le nom de Scatter Swine, a en outre r\u00e9v\u00e9l\u00e9 que son analyse des journaux d’incidents “a r\u00e9v\u00e9l\u00e9 un \u00e9v\u00e9nement au cours duquel l’acteur de la menace a test\u00e9 avec succ\u00e8s cette technique contre un seul compte sans rapport avec la cible principale”.<\/p>\n Comme dans le cas de Cloudflare, le fournisseur de gestion des identit\u00e9s et des acc\u00e8s (IAM) a r\u00e9it\u00e9r\u00e9 qu’il \u00e9tait au courant de plusieurs cas o\u00f9 l’attaquant a envoy\u00e9 une explosion de messages SMS ciblant les employ\u00e9s et les membres de leur famille.<\/p>\n “L’acteur de la menace r\u00e9colte probablement des num\u00e9ros de t\u00e9l\u00e9phone mobile \u00e0 partir de services d’agr\u00e9gation de donn\u00e9es disponibles dans le commerce qui relient les num\u00e9ros de t\u00e9l\u00e9phone aux employ\u00e9s d’organisations sp\u00e9cifiques”, a soulign\u00e9 Okta.<\/p>\n Une autre cha\u00eene d’approvisionnement victime de la campagne est le service de livraison de nourriture DoorDash, qui a dit<\/a> il a d\u00e9tect\u00e9 “une activit\u00e9 inhabituelle et suspecte du r\u00e9seau informatique d’un fournisseur tiers”, incitant l’entreprise \u00e0 d\u00e9sactiver l’acc\u00e8s du fournisseur \u00e0 son syst\u00e8me pour contenir la violation.<\/p>\n Selon la soci\u00e9t\u00e9, l’effraction a permis \u00e0 l’attaquant d’acc\u00e9der aux noms, adresses e-mail, adresses de livraison et num\u00e9ros de t\u00e9l\u00e9phone associ\u00e9s \u00e0 un “petit pourcentage d’individus”. Dans certains cas, les informations de base sur les commandes et les informations partielles sur les cartes de paiement ont \u00e9galement \u00e9t\u00e9 consult\u00e9es.<\/p>\n DoorDash, qui a directement inform\u00e9 les utilisateurs concern\u00e9s, a not\u00e9 que la partie non autoris\u00e9e avait \u00e9galement obtenu les noms et num\u00e9ros de t\u00e9l\u00e9phone ou adresses e-mail des chauffeurs-livreurs (alias Dashers), mais a soulign\u00e9 que les mots de passe, les num\u00e9ros de compte bancaire et les num\u00e9ros de s\u00e9curit\u00e9 sociale n’\u00e9taient pas accessibles.<\/p>\n La soci\u00e9t\u00e9 bas\u00e9e \u00e0 San Francisco n’a pas divulgu\u00e9 de d\u00e9tails suppl\u00e9mentaires sur l’identit\u00e9 du fournisseur tiers, mais elle a d\u00e9clar\u00e9 \u00e0 TechCrunch que le la violation est li\u00e9e<\/a> \u00e0 la campagne de phishing 0ktapus.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/La-nouvelle-vulnerabilite-Amazon-Ring-aurait-pu-exposer-tous-vos.png\")
<\/a><\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/08\/Google-Cloud-bloque-une-attaque-DDoS-record-de-46-millions.png\")
<\/a><\/div>\n