Compromission de compte e-mail (CCE) : Comment les pirates informatiques détournent votre boîte de réception
La compromission de compte e-mail (CCE) se produit lorsque des attaquants accèdent sans autorisation à des comptes e-mail légitimes par vol d'identifiants, ingénierie sociale ou mallogiciel. Contrairement à la compromission de messagerie professionnelle qui cible les cadres supérieurs, la CCE affecte les particuliers et les entreprises de toutes tailles. Selon le Centre de plaintes de criminalité sur Internet du FBI, la CCE a entraîné des pertes dépassant 2,7 milliards de dollars en 2022, avec des pertes individuelles moyennes atteignant 8 000 dollars par incident. Une fois dans le compte, les criminels opèrent silencieusement pendant des jours ou des semaines, étudiant les habitudes de messagerie, les relations et les transactions financières. Ils recherchent des informations sensibles, notamment les documents fiscaux, les mots de passe stockés dans les e-mails, les relevés bancaires et les factures commerciales. Le compte compromis devient une arme pour lancer des attaques contre les contacts de la victime, qui sont plus susceptibles de faire confiance aux e-mails provenant d'un expéditeur connu. La sophistication des attaques par CCE a augmenté considérablement. Les attaquants utilisent désormais l'intelligence artificielle pour imiter les styles d'écriture, créer des fils de conversation convaincants en répondant à des conversations existantes, et synchroniser leurs demandes frauduleuses avec les moments où les victimes sont en déplacement ou indisponibles. L'incident CCE type dure entre 1 et 30 jours avant sa détection, durant lesquels les attaquants peuvent vider des comptes bancaires, rediriger des virements, déposer des déclarations de revenus frauduleuses ou vendre des informations personnelles volées sur les marchés sombres.
Common Tactics
- • Harvesting d'identifiants via des pages de connexion contrefaites : Les attaquants envoient des e-mails usurpant l'identité de services légitimes (Microsoft, Google, banques) avec des liens vers des pages de connexion replica convaincantes qui capturent les noms d'utilisateur et mots de passe saisis.
- • Attaques par pulvérisation de mots de passe : Les criminels tentent des mots de passe courants sur des milliers de comptes e-mail, ciblant les fournisseurs avec des mesures de sécurité faibles ou les utilisateurs qui réutilisent des mots de passe sur plusieurs services.
- • Détournement de session via WiFi public : Les attaquants surveillent les connexions non chiffrées sur les réseaux publics pour intercepter les cookies de session qui permettent l'accès aux comptes e-mail sans nécessiter de mots de passe.
- • Création de règles de forwarding d'e-mail : Une fois à l'intérieur, les attaquants créent des règles de boîte de réception masquées qui transfèrent automatiquement les copies de tous les e-mails entrants à des adresses externes, permettant une surveillance continue même après des changements de mot de passe.
- • Spear phishing ciblé de comptes à haute valeur : Les criminels recherchent les victimes sur les réseaux sociaux et les réseaux professionnels pour créer des e-mails personnalisés contenant des mallogiciels ou des liens de vol d'identifiants spécifiquement conçus pour cet individu.
- • Échange de SIM pour contourner l'authentification à deux facteurs : Les attaquants persuadent les opérateurs mobiles de transférer le numéro de téléphone d'une victime vers une carte SIM qu'ils contrôlent, interceptant les codes d'authentification envoyés par SMS et gagnant l'accès au compte.
How to Identify
- Des notifications de réinitialisation de mot de passe inattendues ou des alertes de sécurité que vous n'avez pas initiées, en particulier plusieurs tentatives de connexion échouées depuis des emplacements ou appareils inconnus visibles dans le journal d'activité de votre compte.
- Des e-mails manquants dans votre boîte de réception ou votre dossier d'éléments envoyés, indiquant que quelqu'un a supprimé la correspondance pour couvrir ses traces, ou l'apparition d'e-mails marqués comme lus que vous n'avez jamais ouverts.
- Des contacts signalant avoir reçu des e-mails étranges de votre adresse, comme des demandes urgentes d'argent, des liens suspects ou des messages sans caractère envoyés à des heures inhabituelles.
- Des règles de forwarding, filtres ou paramètres de boîte de réception non familiers que vous n'avez pas créés, en particulier des règles qui suppriment ou redirigent automatiquement certains types de messages comme les notifications bancaires.
- Des notifications de connexion en provenance de lieux où vous n'avez jamais été, ou à des heures où vous n'utilisiez pas votre appareil, visibles dans les journaux d'activité de sécurité fournis par la plupart des services de messagerie.
- L'incapacité à vous connecter à votre compte avec votre mot de passe correct, ou la découverte que votre adresse e-mail de récupération ou votre numéro de téléphone a été modifié sans votre autorisation, bloquant votre accès à la récupération du compte.
How to Protect Yourself
- Activez l'authentification multifacteur (AMF) en utilisant des applications d'authentification comme Google Authenticator ou Microsoft Authenticator plutôt que des codes SMS, qui sont vulnérables aux attaques par échange de SIM et offrent une protection de compte nettement plus forte.
- Créez des mots de passe uniques et complexes d'au moins 16 caractères pour votre compte e-mail en utilisant un gestionnaire de mots de passe comme Bitwarden ou 1Password, et ne réutilisez jamais ce mot de passe sur aucun autre site Web ou service.
- Examinez régulièrement les paramètres de sécurité de votre compte e-mail au moins une fois par mois, en vérifiant les règles de forwarding non autorisées, les appareils inconnus ayant accès, les contacts de récupération non familiers et l'activité de connexion récente depuis des emplacements inattendus.
- Évitez d'accéder aux comptes e-mail sur les réseaux WiFi publics sans utiliser un service VPN réputé, ou si vous devez le faire, n'entrez jamais de mots de passe et n'utilisez que des sessions précédemment authentifiées avec des certificats de sécurité actuels.
- Configurez des alertes e-mail pour les modifications critiques du compte, notamment les modifications de mot de passe, les mises à jour des informations de récupération, la création de règles de forwarding et les connexions depuis de nouveaux appareils pour détecter immédiatement l'accès non autorisé.
- Créez une adresse e-mail distincte exclusivement pour les comptes financiers et les réinitialisations de mots de passe que vous ne diffusez jamais et que vous n'utilisez jamais pour les achats en ligne, les réseaux sociaux ou les abonnements à des infolettres, réduisant son exposition aux violations de données.
Real-World Examples
Une petite entreprise a reçu ce qui semblait être une alerte de sécurité Microsoft 365 indiquant qu'une activité inhabituelle avait été détectée sur son compte. L'e-mail incluait un lien pour « vérifier votre identité » qui menait à une page de connexion Microsoft replica convaincante. Après avoir entré ses identifiants, les attaquants ont accédé à son e-mail et étudié sa correspondance commerciale pendant deux semaines. Ils ont ensuite envoyé un e-mail à son comptable, en utilisant un fil de facturation existant, avec des instructions de virement mises à jour pour un paiement de 47 000 dollars, qui a été envoyé avant que la fraude soit découverte.
Un graphiste indépendant a remarqué qu'il ne pouvait pas accéder à son compte Gmail un matin. Quand il a essayé de réinitialiser son mot de passe, il a découvert que son numéro de téléphone de récupération avait été modifié. L'attaquant avait utilisé les identifiants achetés à partir d'une violation de données sur le marché sombre, accédé à son e-mail et immédiatement modifié les paramètres de sécurité. Sur cinq jours, le criminel a envoyé des e-mails de phishing aux 300+ clients du graphiste, entraînant 23 comptes compromis avant que Google ne suspende le compte. Le graphiste a perdu plusieurs clients de longue durée qui l'ont blâmé pour la violation.
Le compte e-mail d'un couple retraité a été compromis via un réseau WiFi public à l'hôtel où il était en vacances. Les attaquants ont créé une règle de forwarding masquée et ont surveillé les e-mails pendant trois semaines. Quand le conseiller financier du couple a envoyé son résumé d'investissement trimestriel, les criminels l'ont intercepté, ont créé un faux e-mail urgent concernant une opportunité d'investissement urgente, et ont convaincu le couple de transférer 125 000 dollars à un compte frauduleux. Le crime n'a été découvert que quand le couple est rentré à la maison et a contacté son vrai conseiller au sujet de l'« investissement ».