De mauvais acteurs piratent des milliers de boîtes de réception pour détourner des cartes-cadeaux

Le chercheur et journaliste indépendant en sécurité Brian Krebs a récemment publié un rapport intrigant et un examen des activités d'un gang criminel qui viole les boîtes de réception de courrier électronique pour pêcher des cartes-cadeaux.

L'information a été fournie à Krebs par ce qu'il décrit comme une "source de confiance" qui reste anonyme mais qui aurait également une "visibilité" sur un réseau activement exploité par des pirates pour masquer leurs traces et garder leur trafic Web malveillant anonyme.

Les hackers ont recours à des attaques par force brute éprouvées

Les pirates utilisent la force brute pure et simple, essayant de violer des millions de comptes de messagerie chaque jour. Selon la source citée par Krebs, cela dure depuis trois ans.

En raison du fait que les criminels utilisent la force brute et non des informations d'identification volées vérifiées, les taux de réussite dont ils bénéficient sont faibles en tant que valeur centile, mais représentent toujours de nombreuses boîtes de réception violées avec succès. Étant donné que l'on estime qu'ils exécutent entre cinq et dix millions de tentatives de connexion chaque jour, un taux de réussite de 0,1% équivaudrait toujours à des dizaines de milliers d'e-mails piratés avec succès chaque jour.

Curieusement, les pirates ne font rien de trop drastique avec l'accès dont ils disposent. Krebs appelle cela l'approche "faible et lente" - aucune tentative d'hameçonnage des contacts, aucun spam, simplement un script qui scanne les boîtes de réception pour les cartes-cadeaux numériques revendables.

Vol sans exposition

Cette approche permet aux pirates de voler des sommes d'argent relativement faibles à des entités individuelles sur une période prolongée et a tendance à ne pas concentrer autant l'attention de la sécurité sur leur activité qu'un travail de ransomware majeur. Les cartes volées sont ensuite revendues sur divers marchés en ligne et deviennent pratiquement impossibles à retracer.

L'émergence de plus en plus de plates-formes et de systèmes proposant ce type de service de cartes-cadeaux ou de cartes de fidélité offre aux groupes de menaces comme celui décrit par Krebs un terrain plus fertile pour travailler.

De plus, cela montre que parfois les criminels essayant de garder un profil bas peuvent continuer leur travail malveillant pendant des années sans rencontrer de problèmes majeurs avec les forces de l'ordre, simplement parce qu'ils n'essayent pas de trop ramasser comme une fois.

L'approche de la force brute est également très simple et permet à des acteurs malveillants « bas et lents » similaires de continuer à voler de l'argent à des individus sans risque important ou sans trop d'efforts.