Tous les détenteurs d'un compte Gmail sont placés en alerte rouge et invités à suivre 6 nouvelles règles

La plupart des utilisateurs de messagerie sont désormais bien conscients des escroqueries et des attaques qui touchent quotidiennement leurs boîtes de réception. Google est désormais si performant dans la détection des messages indésirables que la plupart d'entre eux sont instantanément filtrés bien avant d'atteindre les comptes clients. Cependant, il semble que le moment ne soit pas venu de relâcher sa vigilance. Des pirates informatiques ont récemment réussi une cyberattaque qui contourne l'authentification multifacteur de Google.

Cela signifie que les cybercriminels pourraient obtenir un accès complet aux comptes sans que le propriétaire ne se rende compte que quelque chose ne va pas.

La nouvelle attaque a été repérée par les chercheurs en sécurité du Google Threat Intelligence Group, qui ont confirmé que des attaques ciblées avaient déjà eu lieu.

Les comptes Google sont généralement très sécurisés, les utilisateurs devant utiliser plusieurs méthodes pour accéder à des services comme Gmail . Ces méthodes incluent souvent l'authentification à deux facteurs, qui envoie un message à un deuxième appareil avant d'autoriser la connexion.

Mais il semble que les cybercriminels russes aient trouvé un moyen de cibler les téléphones plus anciens et autres appareils qui ne sont pas capables de gérer cette étape de vérification supplémentaire.

Google propose ce que l'on appelle des mots de passe d'application, qui sont des codes spéciaux à 16 chiffres destinés à protéger les appareils moins modernes.

Cependant, comme les mots de passe des applications ignorent la deuxième étape de vérification, les pirates peuvent les voler ou les hameçonner plus facilement.

Selon Malwarebytes, les escrocs ont utilisé cette méthode pour cibler d'éminents universitaires et critiques de la Russie .

« Les attaquants ont d'abord pris contact en se faisant passer pour un représentant du Département d'État, invitant la cible à une consultation dans le cadre d'une conversation privée en ligne », a expliqué Malewarebytes.

« Alors que la cible croit créer et partager un mot de passe d'application pour accéder à une plateforme du Département d'État de manière sécurisée, elle donne en réalité à l'attaquant un accès complet à son compte Google. »

Même s’il s’agit d’une attaque très ciblée, cela ne signifie pas que le grand public ne sera pas le prochain à être visé.

« Maintenant que ce contournement est connu, nous pouvons nous attendre à davantage d'attaques d'ingénierie sociale exploitant des mots de passe spécifiques aux applications à l'avenir », a averti Malwarebytes.

Si vous êtes préoccupé par cette nouvelle attaque, les experts en sécurité ont publié des conseils sur la manière de rester en sécurité.

• N'utilisez les mots de passe d'application qu'en cas d'absolue nécessité. Si vous avez la possibilité d'utiliser des applications et des appareils prenant en charge des méthodes de connexion plus sécurisées, faites-le.

• Le conseil d'activer l'authentification multifacteur (AMF) reste d'actualité, mais toutes les AMF ne se valent pas. Les applications d'authentification (comme Google Authenticator) ou les clés de sécurité matérielles (FIDO2/WebAuthn) sont plus résistantes aux attaques que les codes SMS, sans parler des mots de passe d'application.

• Informez-vous régulièrement, vous et les autres, sur la manière de reconnaître les tentatives d'hameçonnage. Les attaquants contournent souvent l'authentification multifacteur (AMF) en incitant les utilisateurs à révéler leurs identifiants ou leurs mots de passe d'application par hameçonnage.

• Soyez attentif aux tentatives de connexion inhabituelles ou aux comportements suspects, comme les connexions depuis des lieux ou des appareils inconnus. Limitez ces connexions autant que possible.

• Mettez régulièrement à jour votre système d'exploitation et les applications que vous utilisez afin de corriger les vulnérabilités que les pirates pourraient exploiter. Activez les mises à jour automatiques dès que possible pour ne pas avoir à vous en soucier.

• Utilisez un logiciel de sécurité capable de bloquer les domaines malveillants et de reconnaître les escroqueries.