|
RECHERCHE
|
:: Actualité ::
[Les News] [Recherche avancée] [SecALERT]
Le blues de l’identité volée
La « capitalisation de l’utilisateur » est très exactement ce que les spéculateurs aventureux de la bulle internet ont manqué par excès de cupidité, et ce que les organisations mafieuses commencent aujourd’hui à faire fructifier.
Une capitalisation qui débute avec la constitution de fichiers clients, eux-mêmes construits pierre après pierre, nom après prénom, numéro de carte de crédit après immatriculation de sécurité sociale, dans le cadre d’immenses campagnes de phishing, scam, escroqueries à l’identité diverses.
La semaine écoulée fut riche en études conduites sur ce sujet. Tour du monde d’une carte d’identité virtuelle :
Tout commence dans le bac à sable des jeux en ligne et des mondes virtuels. Une superbe étude conduite par McAfee revient sur les épidémies de vols de mot de passe (les troyens PWS ou PassWord Stealers), qui donnent aux pirates accès aux comptes des joueurs, dans le but de leur dérober des objets virtuels qui, à leur tour, seront convertis en monnaie virtuelle, puis, quelques temps plus tard, en argent sonnant et trébuchant.
Le marché parallèle des « biens virtuels », l’esclavagisme de jeunes joueurs chargés de glaner, 15 heures par jour, des trésors totalement numériques, pour le compte de groupes mafieux, tout çà constitue une sorte d’école du crime trop négligée jusqu’à présent car associée à son origine ludique.
Le stade suivant, c’est celui de la vraie vie, du monde réel, de l’email émis par une banque prévenant un client du non versement d’une coquette somme.
L’affaire débute donc comme une sorte de « scam nigérian », nous explique Mikko Hippönen de F-Secure, mais bifurque rapidement en une attaque virale, dont la « charge utile » est… un troyen récupérateur de crédences, un autre « password stealer ».
Ce qui dérange, dans ce genre de roman noir, c’est l’absence totale de suspens ou de rebondissement.
Bon, faut tout de même admettre que parfois, les truands ont de la suite dans les idées. Un correspondant du Sans est tombé sur un phishing d’un genre nouveau. Ou plus exactement d’un assemblage nouveau utilisant des composants usés jusqu’à la trame.
Tout commence avec un email avertissant son lecteur qu’une suspension de compte le menace. Jusque là, l’affaire est banale à bailler. Mais, tente de convaincre le courriel en question, d’élémentaires mesures de prudence interdisent à la banque de résoudre ce problème en ligne... seule une conversation téléphonique est à même d’éviter les risques d’infection, de PWS, d’attaque XSS et autres redoutables dangers internetesques.
Et l’usager de tomber sur un répondeur de « phoning » automatisé qui, après quelques phrases de mise en confiance et manipulations DTMF totalement inutiles, demande à la victime… un numéro de carte de crédit, numéro PIN et autres marques d’identité.
Le même jour, le journal du Sans revenait sur les mille et une méthodes de vol d’identité employées par les scammers. On y retrouve le phishing VoIP, mais également certaines manœuvres nées d’un esprit particulièrement retord.
Ainsi ce courriel émis par un très hypothétique service Nigérian de dédommagement des victimes de scam Nigérian . Ce serait risible si des victimes ne s’y faisaient régulièrement plumer.
Légèrement en marge de cette grande épopée du vol d’identité, cette étude très « statisticienne », travail de Richard Clayton de l’Université de Cambridge* qui nous explique par le menu pourquoi certains alias email débutant par A , M ou P ont plus de chances de se faire spammer que des internautes baptisés Zoé ou Zarathoustra. C’est là, nous explique le chercheur, le fruit du travail des attaques par dictionnaire et de la fréquence des noms courants. Le vol d’identité débute parfois par une opération de passage en « brute force ».
Les spécialistes du marketing le savent bien, les prénoms suivent généralement des modes. Un Anselme ou une Cunégonde fleurent bon le troisième âge… un terreau fructifiant pour les ventes de couvertures chauffantes et rocking-chair confortables.
Ce qui est nettement moins le cas des Kevin et des Sue-Helen… Le marché du vêtement bon-chic-bon-genre aurait plutôt tendance à s’adresser à des Marie-Béatrix et autres Louis-Amédée.
Ce profilage sociologique n’est pas encore une arme utilisée par les spammeurs et voleurs d’identité. Mais il semblerait qu’ils s’en rapprochent dangereusement.
Nous finirons ce tour du monde du vol d’identité avec une toute nouvelle approche : le bookmarklet de la mort. Sans le moindre « zeroday », et avec deux doigts de persuasion –forme antique du Social Engineering-, n’importe qui peut exploiter un « bookmarklet » à finalité néfaste. Car un bookmarklet n’est rien d’autre qu’un javascript inséré dans les « signets » stockés par le navigateur.
Selon que l’on est optimiste ou pessimiste, l’on appellera cette caractéristique soit un « puissant outil d’automatisation et générateur d’appliquettes sympathiques », soit « une dangereuse injection de scripts ».
Et il existe notamment un lien entre les bookmarklet, les navigateurs et le vol d’identité : la capacité desdits navigateurs de stocker des crédences, identifiant et mot de passe, afin de les restituer automatiquement lorsque le besoin s’en fait sentir.
L’on possède, grâce au bookmarklet, le moyen d’émettre ces crédences, il ne reste plus qu’à penser la partie amont du piège, celle qui simulera le serveur nécessitant l’injection de ces identifiants.
Certes, ce n’est pas Armageddon. Les attaques de ce type sont assez complexes, nécessitent un peu d’ingénierie sociale.
Mais il y a matière à réflexion pour que, au moins dès le premier lancement, le navigateur prévienne l’usager de la présence de ces automates incontrôlables.
NdlC Note de la Correctrice : Il existe en Grande Bretagne trois grandes universités : Cambridge, Oxford et Eaton. La dernière serait le lieu de naissance du terme « snob », contraction de la formule « sine nobilitatis » (sans quartier de noblesse) qui devait émailler les en-têtes des copies des étudiants roturiers.
Oxford est mondialement connu pour avoir compté dans ses rangs William Archibald Spooner, professeur de philo et d’histoire antique et père du contrepet d’expression anglaise –Contrepet en Grand Breton se dit spoonerism-.
Reste Cambridge, qui connu quelques heures de gloire dans le domaine de la batellerie à rames et dans la production industrielle d’espions soviétiques (Burgess, Maclean, Philby, Blunt, Cairncross…)
|
|
Les 10 actualités suivantes :
|
|
|
|
Les 10 actualités précédentes :
|
|
|
|
