Des kilomètres de courriers électroniques dans un seul jour, suivis peu après par un appel du département supposé de TI pour résoudre le problème. Retarus conseille une combinaison d’actions qui affectent la sécurité de l’entreprise en utilisant le chargeur de courrier électronique de l’entreprise comme point de départ pour compromettre la sécurité des organisations.
Les experts en sécurité du courrier électronique de Retarus observent un nombre précis d’attaques dénommées « bombardement de la boîte de réception », et les cyberdélinquants inonderont des zones spécifiques avec des messages techniques légitimes. Ensuite, vous serez en contact avec les victimes, dans le menu des outils de chat de MS Teams, en passant par le service d’assistance technique interne. Votre objectif est d’obtenir des informations d’identification de début de session, en utilisant des codes d’authentification multifacteur ou en engageant les employés pour installer les outils d’accès à distance.
Dans un des cas observés au sein de la sécurité de l’entreprise, un employé a reçu chaque jour entre 2 000 et 3 000 courriers électroniques, ce qui suppose plus de 30 000 messages quotidiens pour sa seule entreprise.
« Les bombardiers de courrier électronique n’ont pas pour seul objectif d’exercer le travail d’un employé. Les agents créent le chaos et se présentent ensuite comme les uniques qui peuvent le résoudre. Cette technique transforme un problème apparemment opérationnel en une opportunité de voler des informations d’identification pour obtenir l’accès aux systèmes de la société”, affirme Yeray Fraga, directeur général de Retarus España.
Différentes phases qui se produisent dans les attaques
La première phase de l’attaque est basée sur des abonnements à des messages informatifs, des notifications push et d’autres messages informatifs. Les agents utilisent diverses combinaisons de directions de paiement et de destination, ainsi que des variantes de sous-domaines, pour occulter tout patron commun.
De plus, ces messages peuvent être authentiques correctement et ne contiennent pas de dangers ni d’archives complémentaires malveillantes. Par conséquent, les filtres qui évaluent chaque courrier électronique de forme individuelle ont des difficultés à reconnaître ce qui fait partie de la même campagne. L’avalanche de messages résultante crée alors le contexte pour la deuxième phase : un contact externe de « aide » en passant par un appel téléphonique ou un chat.
Plus sur le filtre antispam
Pour Retarus, cette combinaison de canaux exige une défense qui va plus loin dans l’analyse simple du contenu des messages. La visibilité du trafic postal électronique, l’analyse rapide des anomalies et la capacité de réponse sont essentielles pour identifier et contenir l’incident.
Les filtres antispam et antiphishing aident à réduire la liste de contenus suspects ou malveillants. Cependant, lorsque les courriers électroniques individuels ne doivent pas faire signe d’avertissement, il est nécessaire d’analyser le panorama général : un supplément de repentance des e-mails entrants peut entraîner une attaque qui passe desapercibido si elle examine chaque message par séparé.
Retarus Email Security fournit des mesures d’observation qui permettent aux équipes de TI et de sécurité d’identifier des changements dans le volume du courrier électronique entrant, les tâches de comptabilité ou les erreurs d’authentification. Ces données peuvent être intégrées dans des plateformes de surveillance telles que Grafana, Splunk, Dynatrace ou Elastic.
L’intégration des systèmes SIEM
De plus, myEAS Email Live Search permet d’analyser le trafic par transfert, direction IP, ainsi que les périodes de temps. De plus, l’intégration avec les systèmes SIEM facilite la correspondance de ces informations avec les données de Microsoft Teams, les systèmes d’identité et les équipements corporatifs pour identifier les transporteurs électroniques et les contacts de support faux comme incident.
Retarus Email Security propose des mesures d’observation qui permettent d’identifier les changements dans le volume du courrier électronique entrant.
Une fois la campagne identifiée, l’API d’administration de Retarus permet de bloquer les transferts ou les domaines intermédiaires, les listes de restriction d’entrée et les listes de blocage antispam, tant pour les destinations spécifiques que pour toute l’organisation.
« La réponse doit combiner la technologie avec des procédures claires pour les employés. Détecter et contenir rapidement une avalanche de messages est très important pour éviter que l’urgence ne soit demandée aux personnes à confier à un supposé expert technique. Les canaux d’assistance établis doivent suivre la source. de référence, en particulier lorsque quelqu’un demande des informations d’identification, des codes d’authentification ou un accès à distance », conclut Fraga.
