Les comptes Gmail massivement utilisés pour les attaques de reconnaissance dans les campagnes de phishing

D'après un rapport de Barracuda, les comptes Gmail sont utilisés massivement dans les attaques de reconnaissance qui précèdent une attaque de phishing plus personnalisée.

L'utilisation du service de messagerie leur permet d'échapper à la détection, de créer des comptes sous pseudonyme rapidement et de vérifier discrètement si la victime a ouvert le message.

Le service de messagerie de Google majoritairement utilisé dans ces attaques

Les attaques de phishing se multiplient, notamment sur les adresses mail professionnelles. D'après une analyse des chercheurs de Barracuda, une entreprise spécialisée dans la sécurité, 35 % des 10 500 organisations qu'ils ont étudiées avaient reçu au moins un mail dans le cadre d'une attaque de reconnaissance, ou bait attack en anglais, en septembre 2021.

Les attaques de reconnaissance sont parfois utilisées par les attaquants pour récupérer des informations avant de se lancer dans le hameçonnage proprement dit. Elles leur servent à vérifier si l'adresse mail est valide, la qualité des protections anti-spam de la victime mais également sa capacité à interagir et répondre à des mails provenant d'une adresse inconnue. Pour réaliser ces attaques, les hackers utilisent souvent de nouvelles adresses mail et Barracuda a découvert que leur service de messagerie de choix était Gmail.

D'après les chercheurs de l'entreprise, 91 % des mails envoyés dans le cadre d'attaques de reconnaissance l'étaient à partir d'une adresse Gmail. Cette popularité peut s'expliquer pour plusieurs raisons. Déjà, Gmail est un service réputé et perçu comme sûr, aussi bien par les utilisateurs que par les logiciels de sécurité, ce qui a comme double effet de mettre les victimes en confiance et d'échapper à la détection. Mais surtout, en plus de rendre la création d'une adresse mail avec un pseudonyme aisée, Gmail possède une fonctionnalité qui permet de savoir quand un mail a été lu.

Une technique discrète et populaire

Lors de ces attaques, les mails envoyés ne contiennent pas de documents ou liens malveillants et sont souvent laconiques, se contentant d'une salutation, ou parfois même vides. Dans le meilleur des cas, les attaquants espèrent que la victime engagera la conversation, ce qui leur permettra d'obtenir des informations supplémentaires. Mais ils se contentent aussi de savoir que le mail a juste été ouvert, ce qui confirme que l'adresse mail est active et que la victime est susceptible d'ouvrir des mails provenant d'adresses inconnues. Avec sa fonctionnalité, Gmail leur permet d'obtenir cette information de façon discrète.

L'un des employés de Barracuda a répondu à l'un de ces mails, ce qui lui a valu de recevoir rapidement un mail de phishing plus personnalisé. Les attaquants se faisaient passer pour Norton et essayaient de le piéger en lui faisant croire à l'achat d'un abonnement. Si dans ce rapport, Barracuda se concentrait surtout sur les attaques visant les entreprises, les attaques de reconnaissance sont une technique utilisée pour toute sorte de campagnes de phishing.

Pour s'en protéger, il est conseillé d'immédiatement supprimer un mail provenant d'une adresse mail inconnue et de ne surtout pas l'ouvrir pour ne pas être ciblé plus en avant par la suite.

Sources : BleepingComputer , Barracuda