Lors d'une récente campagne de phishing à grande échelle, les attaquants ont utilisé des sites de phishing de type adversary-in-the-middle (AiTM). Ces sites leur ont permis de voler des mots de passe, de détourner des sessions de connexion et de contourner le processus de vérification, même lorsque l'authentification multifactorielle (MFA) était activée.
Les cybercriminels ont ensuite utilisé les informations d'identification volées et les cookies de session pour accéder aux boîtes aux lettres et cibler d'autres objectifs, tels que la compromission de courriels professionnels (BEC). Depuis septembre 2021, plus de 10 000 organisations ont été victimes de cette méthode.
Qu'est-ce que le phishing AiTM ?
Le phishing Adversary-in-the-Middle (AiTM) est une technique sophistiquée où les attaquants interposent un serveur proxy entre l'utilisateur et le site web légitime que l'utilisateur souhaite visiter. Ce serveur proxy malveillant intercepte toutes les communications entre les deux parties. Lorsqu'un utilisateur tente de se connecter, le serveur proxy capture les informations d'identification, telles que les mots de passe, ainsi que les cookies de session qui sont utilisés pour maintenir la connexion active.
Grâce à ces informations, les attaquants peuvent se faire passer pour l'utilisateur et accéder à ses sessions en cours, même si l'authentification multifactorielle (MFA) est activée. Les cybercriminels utilisent ensuite ces sessions détournées pour accéder à des informations sensibles, envoyer des courriels frauduleux ou compromettre d'autres comptes au sein de l'organisation.
En résumé, le phishing AiTM représente une menace sérieuse car il permet aux attaquants de contourner les mesures de sécurité avancées comme la MFA, rendant ainsi les systèmes informatiques vulnérables à des intrusions et des compromissions de données.
Protection contre le phishing AiTM
Même si la MFA ajoute une couche de sécurité supplémentaire contre les attaques de phishing et demeure essentielle pour la protection de votre organisation, les attaquants continuent de trouver des moyens de la contourner. Pour défendre votre organisation contre les menaces les plus récentes, nous recommandons de mettre en place des mesures additionnelles en complément de la MFA.
- Accès conditionnel
L'accès conditionnel évalue chaque demande de connexion en fonction de signaux d'identité tels que les données de localisation IP et l'état de l'appareil. - Solutions anti-phishing avancées
Utilisez des navigateurs web qui peuvent automatiquement identifier et bloquer les sites web malveillants. - Surveillance continue
Surveillez les tentatives de connexion suspectes et les activités inhabituelles des boîtes aux lettres.
Utilisez Microsoft 365 Defender
Microsoft 365 Defender offre une protection complète contre les menaces avancées, y compris les campagnes de phishing Adversary-in-the-Middle (AiTM). Cette solution de sécurité collecte des informations provenant de diverses sources, telles que les courriels, les points de terminaison, les identités et les applications.
En utilisant une combinaison de technologies avancées, telles que l'intelligence artificielle et l'apprentissage automatique, Microsoft 365 Defender renforce la défense contre ces attaques sophistiquées. Il permet de détecter, d'analyser et de répondre rapidement aux menaces, assurant ainsi une protection robuste et proactive pour votre organisation.
-
Corrélez les différents incidents
Grâce à la technologie unique de corrélation des incidents de Microsoft Defender, vous pouvez centraliser toutes les alertes pertinentes concernant les attaques de phishing AiTM dans un aperçu complet. Vous pouvez ainsi réagir plus efficacement aux incidents potentiels.
-
Protégez votre environnement Office 365 via Microsoft Defender for Office 365
Microsoft Defender for Office 365 identifie les menaces grâce à des alertes de sécurité par e-mail. Il utilise la fonctionnalité de purge automatique à zéro heure (ZAP), permettant de détecter et de supprimer rétroactivement les messages de phishing, de spam ou de logiciels malveillants.
-
Détectez les activités suspectes et recevez des alertes
Microsoft Defender for Cloud Apps détecte les campagnes de phishing AiTM et BEC en générant des alertes pour des activités suspectes, comme des règles inhabituelles dans votre boîte aux lettres ou des déplacements géographiques impossibles. Avec Azure AD Identity Protection, vous pouvez automatiquement identifier et remédier aux risques liés aux identités, tels que les jetons (tokens) anormaux ou les tentatives de connexion depuis des adresses IP anonymes.
-
Évaluer l'accès en temps réel
L'évaluation continue de l'accès (CAE) surveille en permanence les accès aux sessions et peut révoquer l'accès en temps réel si elle détecte une activité utilisateur suspecte, telle qu'un déplacement vers un emplacement non fiable.
Stratégies et solutions contre les attaques de pishing AiTM
Les campagnes de phishing Adversary-in-the-Middle (AiTM) continuent d'évoluer et représentent une menace croissante pour les organisations. Ces attaques deviennent de plus en plus sophistiquées, rendant la protection de votre environnement informatique essentielle.
En mettant en oeuvre une stratégie de défense globale, incluant: l'authentification multifactorielle (MFA), l'accès conditionnel et des solutions anti-phishing avancées, vous pouvez renforcer la sécurité de votre organisation. Ces mesures permettent de détecter et de bloquer les tentatives d'intrusion, réduisant ainsi les risques de compromission et protégeant vos données sensibles contre les cybercriminels.