Des pirates informatiques cherchant à obtenir des rançons ont ciblé des dizaines de grandes institutions financières américaines et d’autres entreprises au cours du dernier mois, selon Google et des données de renseignement internet examinées par Reuters.

La campagne reposait sur 72 sites malveillants conçus pour voler les identifiants de salariés travaillant notamment chez Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, CME Group, Clearlake Capital et Moody’s.

Les attaquants ont utilisé plusieurs noms, dont Redact, Pink, Falcon et Helix. Ils combinaient de faux sites internet avec des appels téléphoniques se faisant passer pour les services informatiques des entreprises.

Reuters n’a pas pu déterminer quelles tentatives avaient réellement réussi. Google a toutefois indiqué que certaines entreprises non identifiées avaient payé des rançons.

Les sociétés financières deviennent une cible prioritaire

Google affirme que les pirates ont récemment concentré leurs efforts sur les sociétés de capital-investissement, les cabinets d’avocats et les agences de notation financière.

Cette sélection semble guidée par une logique économique.

Austin Larsen, analyste principal chez Google Threat Intelligence Group, a expliqué que les attaquants choisissaient souvent les secteurs en fonction de la valeur potentielle des données détenues.

Les sociétés financières gèrent des informations sensibles sur les transactions, les portefeuilles, les investisseurs, les entreprises financées et les stratégies internes.

Les pirates peuvent espérer que ces organisations paient rapidement pour éviter une fuite de données, une interruption d’activité ou une atteinte à leur réputation.

Au moins 72 sites malveillants liés à la campagne

Google a publié une liste de 72 domaines malveillants associés aux attaques.

Reuters a analysé ces sites à l’aide de plateformes de renseignement web comme DomainTools et urlscan.

Cette analyse a permis d’identifier des sous-domaines adaptés à différentes entreprises.

Les pages frauduleuses utilisaient des noms destinés à paraître légitimes, comme « passkeyhelpdesk » ou « secure-passkey ».

L’objectif était de convaincre les salariés qu’ils utilisaient un portail officiel de leur entreprise pour mettre à jour leurs identifiants de sécurité.

Selon Larsen, ces sites ont probablement été utilisés dans des tentatives d’intrusion, mais toutes n’ont pas nécessairement abouti.

Les pirates appelaient les salariés sur leurs téléphones personnels

La campagne utilisait une méthode de social engineering particulièrement directe.

Les pirates contactaient les employés sur leurs téléphones portables personnels en prétendant travailler pour le service d’assistance informatique de leur société.

Dans certains cas, le numéro affiché correspondait au véritable numéro du help desk.

Cette usurpation renforçait la crédibilité de l’appel et augmentait la probabilité que la victime suive les instructions.

Les attaquants invoquaient ensuite une demande urgente du service informatique concernant la mise à jour d’une clé d’accès ou de l’authentification multifacteur.

Les mots de passe et codes de sécurité étaient volés en temps réel

Les salariés étaient dirigés vers un faux site reprenant l’apparence d’un portail de sécurité.

S’ils saisissaient leur mot de passe, les pirates le récupéraient immédiatement.

Les attaquants demandaient ensuite le code de secours envoyé par SMS ou généré par une application d’authentification.

Le code était intercepté en direct pendant l’appel.

Cette méthode permettait aux pirates de prendre le contrôle du compte avant même la fin de la conversation.

L’authentification multifacteur restait donc en place, mais elle était contournée parce que la victime remettait volontairement le code à l’attaquant.

Une méthode peu sophistiquée mais très efficace

Google souligne que cette tactique n’est pas particulièrement avancée sur le plan technique.

Elle repose davantage sur la manipulation humaine que sur une vulnérabilité complexe.

Larsen a estimé que le mot « sophistiqué » ne convenait pas, mais que la méthode était extrêmement efficace.

Lee Clark, responsable du renseignement sur les cybermenaces au Retail and Hospitality ISAC, a résumé la logique de l’attaque en expliquant que, lorsque les défenses techniques deviennent très élevées, il suffit parfois de convaincre le gardien d’ouvrir la porte.

Cette campagne montre que les investissements dans des systèmes de sécurité avancés ne suppriment pas le risque humain.

Blackstone, Apollo, KKR et CME parmi les cibles

Les données analysées ont révélé des pièges numériques associés à plusieurs grands noms de la finance américaine.

La liste comprend Blackstone, Bridgewater Associates, Apollo Global Management, Bain Capital, KKR, TPG, Clearlake Capital, CME Group et Moody’s.

Ces entreprises occupent des positions importantes dans le capital-investissement, les marchés financiers, la gestion d’actifs et la notation de crédit.

KKR, Bain Capital, Clearlake, CME, TPG et Apollo ont refusé de commenter.

Blackstone, Bridgewater et Moody’s n’avaient pas répondu immédiatement aux demandes de Reuters.

L’absence de commentaire ne permet pas de conclure qu’une intrusion a réussi.

Les fonds spéculatifs ont également été visés

La campagne a aussi ciblé plusieurs hedge funds.

Point72 Asset Management a informé ses investisseurs mercredi qu’il avait été visé, selon une source proche du dossier.

D’autres sources ont indiqué que Two Sigma Investments et Citadel avaient également fait l’objet de tentatives.

Leurs noms apparaissaient dans les données examinées par Reuters.

Point72 et Citadel ont refusé de commenter, tandis que Two Sigma n’a pas répondu.

Aucune information publique ne confirme que les pirates ont réussi à compromettre ces entreprises.

Plus de 200 entreprises ciblées en cinq semaines

Avant de se concentrer sur la finance, les cybercriminels avaient créé des pièges pour un ensemble beaucoup plus large d’entreprises.

Les données montrent que plus de 200 sociétés ont été ciblées en cinq semaines.

Parmi elles figuraient Uber, Zillow et Levi Strauss.

Plusieurs cabinets d’avocats, notamment Paul Hastings et Greenberg Traurig, apparaissaient également dans la campagne.

Uber, Zillow, Paul Hastings et Levi Strauss n’ont pas répondu aux demandes de commentaire.

Greenberg Traurig a affirmé ne pas avoir subi de violation de données grâce aux différentes couches de sécurité mises en place.

Les pirates utilisent plusieurs identités

Le groupe ou réseau d’attaquants utilise plusieurs noms, dont Redact, Pink, Falcon et Helix.

Redact était auparavant connu sous le nom de Blackfile.

Sur son site du darknet, Redact affirme ne pas agir pour des raisons politiques ou morales.

Le groupe a également déclaré ne pas répondre actuellement aux questions de la presse.

Google n’a pas encore déterminé avec précision l’identité des pirates ni la nature exacte des liens entre les différents groupes.

Larsen estime cependant qu’ils semblent reliés par une infrastructure commune.

Des rançons auraient été payées

Google a indiqué que certaines entreprises avaient versé des rançons aux attaquants.

Le groupe n’a pas identifié ces organisations.

Reuters n’a pas pu établir quelles entreprises avaient été compromises ni lesquelles avaient payé.

Le manque de détails empêche de mesurer l’ampleur financière réelle de la campagne.

Cependant, le paiement de rançons confirme que les attaques ne se sont pas limitées à des tentatives sans conséquence.

Dans au moins certains cas, les pirates ont obtenu suffisamment d’accès ou de données pour exercer une pression sur les victimes.

Pourquoi le capital-investissement constitue une cible attractive

Les sociétés de private equity détiennent des informations sensibles sur un grand nombre d’entreprises.

Elles peuvent avoir accès à des données financières, des plans de restructuration, des informations sur des acquisitions, des listes d’investisseurs et des documents stratégiques.

Une intrusion peut donc affecter non seulement la société ciblée, mais aussi les entreprises présentes dans ses portefeuilles.

Les attaquants peuvent utiliser les données volées pour demander une rançon, menacer de les publier ou préparer d’autres fraudes.

La concentration d’informations importantes augmente la valeur potentielle d’un compte compromis.

Les cabinets d’avocats et agences de notation présentent des risques similaires

Les cabinets d’avocats traitent des documents confidentiels liés aux litiges, aux transactions, aux enquêtes et aux négociations.

Les agences de notation disposent d’informations financières détaillées sur des entreprises et des émetteurs de dette.

Ces organisations peuvent donc être exposées à des demandes de rançon élevées si des données sensibles sont volées.

Les attaquants semblent privilégier les secteurs où la confidentialité possède une forte valeur économique.

Cette stratégie explique le déplacement récent vers les services financiers, le droit et la notation.

L’IA ne remplace pas la sécurité humaine

La campagne intervient alors que les entreprises investissent massivement dans la détection automatisée et les outils de cybersécurité fondés sur l’intelligence artificielle.

Pourtant, les pirates ont utilisé principalement des appels, de faux sites et un sentiment d’urgence.

Ils n’ont pas eu besoin de vaincre directement des systèmes techniques complexes.

Ils ont manipulé des employés pour obtenir volontairement les informations nécessaires.

Cela montre que les technologies avancées ne suffisent pas lorsque les procédures d’assistance informatique peuvent être imitées et que les salariés ne vérifient pas l’identité de l’appelant.

Comment les entreprises peuvent réduire le risque

Les entreprises peuvent limiter ce type d’attaque en interdisant aux équipes informatiques de demander des codes d’authentification par téléphone.

Les salariés doivent aussi être encouragés à raccrocher et à rappeler le service informatique à partir d’un numéro officiel.

Les modifications de mots de passe ou de passkeys devraient passer uniquement par des portails internes connus.

Les systèmes peuvent également exiger une validation supplémentaire lorsqu’un compte est utilisé depuis un nouvel appareil ou un nouvel emplacement.

La formation doit insister sur le fait qu’un appel affichant le bon numéro peut encore être frauduleux.

Les entreprises financières font face à un risque de réputation élevé

Pour une société financière, une intrusion peut provoquer plus qu’une simple interruption technique.

Elle peut affecter la confiance des investisseurs, des clients, des partenaires et des entreprises financées.

Même une tentative non réussie peut obliger l’organisation à renforcer ses contrôles, avertir les parties concernées et examiner ses comptes.

Lorsqu’une rançon est payée, la victime peut également être ciblée de nouveau si les criminels pensent qu’elle est disposée à négocier.

La prévention reste donc essentielle, surtout pour les entreprises détenant des données à forte valeur stratégique.

Ce que les autorités et les entreprises doivent surveiller

Le premier enjeu sera d’identifier précisément les groupes opérant sous les différents noms.

Le deuxième sera de déterminer quelles entreprises ont réellement été compromises.

Les nouvelles infrastructures web, les numéros de téléphone usurpés et les domaines similaires devront être surveillés.

Les entreprises devront également vérifier les tentatives récentes de modification de l’authentification multifacteur et les connexions inhabituelles.

Enfin, la coopération entre sociétés financières, fournisseurs cloud, autorités et groupes de partage d’informations sera importante pour limiter la propagation de la campagne.

Conclusion

Des pirates cherchant des rançons ont ciblé de grandes sociétés financières américaines à l’aide de faux sites et d’appels téléphoniques imitant les services informatiques.

Au moins 72 domaines malveillants ont été associés à des tentatives visant notamment Blackstone, Apollo, KKR, CME Group, Bridgewater, Bain Capital et Moody’s.

Plus de 200 entreprises ont été ciblées en cinq semaines, mais Reuters n’a pas pu déterminer combien d’intrusions avaient réussi.

Point clé final

La campagne montre que les systèmes de sécurité les plus avancés peuvent être contournés lorsque les pirates manipulent directement les employés. Le principal risque ne vient pas d’une technologie complexe, mais de faux appels crédibles capables de transformer les procédures de sécurité elles-mêmes en outils d’intrusion.