Une nouvelle campagne de phishing utilise des sites web légitimes et compromis pour contourner la sécurité des e-mails.
Le kit de redirection aveugle, surnommé « Bulletproof », garantit que l’infrastructure de phishing réelle reste invisible pour les filtres de messagerie traditionnels et les utilisateurs. Le KnowBe4 Threat Lab a découvert qu’entre fin avril et mi-juillet, des milliers d’e-mails de phishing utilisant cette technique sont arrivés dans les boîtes de réception des utilisateurs.
Les liens de phishing contenus dans ces e-mails renvoient initialement vers des sites web fiables mais compromis. Ce n’est qu’après avoir cliqué que l’utilisateur est redirigé discrètement vers une page de phishing, de sorte que la destination finale n’est pas visible par les systèmes de sécurité de messagerie.
Cette méthode rend la détection et le blocage du phishing considérablement plus difficiles. Les organisations qui s’appuient sur l’authentification multifactorielle (MFA) traditionnelle courent également un risque, car les attaquants utilisent des techniques pour intercepter les sessions authentifiées en temps réel.
Redirecteurs aveugles
Le cœur de cette méthode d’attaque est l’utilisation d’un redirecteur dit aveugle. Dans ce cas, un site web légitime mais compromis sert de station intermédiaire. Par conséquent, l’infrastructure de phishing réelle reste invisible lors des contrôles des Secure Email Gateways. Les attaquants peuvent rapidement changer d’hôte compromis, ce qui complique le blocage.
Derrière cette couche intermédiaire, des kits de phishing AiTM tels que Sneaky2FA et Tycoon 2FA sont déployés. Ceux-ci permettent aux attaquants non seulement de guider la victime à travers le contrôle MFA, mais aussi d’intercepter directement la session authentifiée. Cela signifie que la MFA traditionnelle n’offre plus une protection suffisante contre ce type d’attaques.
Abus d’infrastructures connues
Selon KnowBe4, 34 % des e-mails de phishing ont utilisé l’infrastructure d’envoi de marques connues telles que QuickBooks et DocuSign. De plus, des dizaines de sites web légitimes de divers pays et secteurs ont été compromis pour servir de redirecteurs. En utilisant des noms de confiance et une réputation existante, les attaquants contournent non seulement la sécurité technique, mais augmentent également les chances que les victimes cliquent sur le lien.
L’émergence des redirecteurs aveugles démontre que le phishing est de plus en plus difficile à reconnaître et à bloquer. Les organisations feraient bien d’adapter leur sécurité, par exemple en implémentant une MFA résistante au phishing et en continuant à investir dans la sensibilisation des employés.