Une fausse équipe IT convainc un avocat de transmettre des fichiers sensibles

Ce qui s’est passé

Le cabinet d’avocats Blank Rome a subi un incident au cours duquel des attaquants se sont fait passer pour son propre service IT. Par cette tromperie, ils ont convaincu un avocat du cabinet de transférer des fichiers vers un emplacement sous leur contrôle.

Les fichiers exposés contenaient notamment des données personnelles de clients et de contacts du cabinet. Ce cas s’inscrit dans une vague d’attaques par ingénierie sociale visant des entreprises américaines documentée par Reuters, dans laquelle le point d’entrée n’était pas une vulnérabilité technique mais la manipulation d’une personne disposant d’un accès légitime.

Les enseignements pour toute organisation détenant des données clients

Un cabinet de services professionnels traite des informations sensibles de tiers —clients, parties adverses, salariés d’autres entreprises— sans nécessairement avoir conscience de leur valeur pour un attaquant. L’usurpation de l’identité du support technique interne fonctionne parce que la victime fait confiance à un canal qu’elle considère comme sûr par définition.

Le principal enseignement est que la sécurité de l’information ne dépend pas uniquement des pare-feu ou des antivirus, mais aussi de la manière dont les demandes inhabituelles sont vérifiées, en particulier lorsqu’elles invitent à transférer, déplacer ou partager des fichiers en dehors des procédures habituelles.

Les points à vérifier

Mesures permettant de réduire le risque de ce type de tromperie:

• Procédure de vérification par un second canal de toute demande du «service IT interne» impliquant le transfert ou le partage de fichiers.
• Formation spécifique aux fraudes au support technique, avec des exemples réels et pas seulement des cas génériques de phishing.
• Restrictions sur les destinations vers lesquelles des informations sensibles peuvent être transférées depuis les postes de l’entreprise.
• Journalisation et alertes en cas de transferts massifs de fichiers vers des destinations externes inhabituelles.

Questions fréquentes

¿Comment les attaquants ont-ils obtenu la coopération de l’avocat?

Ils se sont fait passer pour le service IT du cabinet, un canal auquel la victime faisait confiance par défaut.

¿Quel type de données a été exposé?

Des informations personnelles de clients et de contacts du cabinet, selon les éléments communiqués dans le cadre de cette vague d’incidents.

¿Comment éviter cette tromperie dans une petite entreprise?

En établissant une règle selon laquelle aucune demande de support technique impliquant le partage de fichiers ne doit être traitée sans vérification préalable par un second canal connu.