Vos vidéos personnelles de chats, restez à la maison, photos de fête d’anniversaire et clichés occasionnels d’un autre jour dépensés sous les restrictions de Covid-19 ne sont peut-être pas seulement ce qui vous semble. Selon un nouveau message de Jason Nurse, professeur agrégé de cybersécurité à l’Université du Kent sur Sophos Naked Security blog , messages occasionnels sur les réseaux sociaux créés par beaucoup d’entre nous qui restent à la maison semblent divulguer des identifiants clés dans le cyberespace ouvert. Bien que de telles choses, telles que la célébration de votre fête d’anniversaire, le partage de votre adoration pour le chiot que vous avez sauvé, ou même quelque chose d’aussi trivial qu’un claquement de mi-travail pour briser l’ennui peuvent ne pas avoir du tout de sensible, de telles données peuvent être mises ensemble par des cyber-attaquants , des escrocs et des pirates pour former un pool de des données identifiables, toutes liées à vous. Ceci, à son tour, aide les auteurs de menaces à créer des cyber-avancées ciblées et à duper les individus, dans une série d’escroqueries en ligne avancées qui ne restent plus simples.
À quel point les données triviales sont-elles triviales?
«Les escroqueries sont une forme d’attaque préférée pour de nombreux criminels. Ils sont souvent simples à lancer et, s’ils sont bien exécutés, peuvent avoir des taux de réussite relativement bons. Au fur et à mesure que nous sommes devenus plus conscients des escroqueries, les criminels ont dû devenir plus rusés. Une façon dont ils ont cherché à augmenter les taux de réussite est de personnaliser les escroqueries-pensez aux attaques de type spear phishing. Nous ne voyons plus «Cher utilisateur», mais plutôt «Cher [votre nom]». Et les escroqueries utilisent maintenant vos anciens mots de passe dans leurs messages », explique Nurse, expliquant ici le problème en question.
De tels incidents ne sont pas particulièrement sans précédent-La cybercriminalité a toujours évolué pour suivre le rythme de l’actualité, et dans le monde d’aujourd’hui, cela a un reflet bien plus grand. Par exemple, de nombreux rapports ont mis en évidence le désormais bien documenté augmentation des escroqueries liées à Covid-19 et efforts de phishing au cours des premiers mois de la pandémie mondiale. Au fil du temps, les attaquants se sont adaptés pour cibler la recherche des contacts Covid-19 et les efforts de vaccination, et par la suite, des tâches plus avancées également.
Mais il s’avère que l’un des principaux signifiants des cybermenaces avancées est né de publications occasionnelles sur les réseaux sociaux, y compris des éléments très basiques comme une photo de votre première réunion Zoom. Grâce aux outils de résurrection d’images d’IA, même les images compressées partagées sur les réseaux sociaux peuvent être remises à neuf pour révéler des détails-parfois de nature très sensible. Ces publications sur les réseaux sociaux, comme le prétend le rapport Sophos, ont inclus des informations personnelles sous des hashtags populaires. Comme il le dit, «Les photos marquées avec #WorkFromHome, #WorkingFromHome, #HomeOffice ont également révélé des fêtes d’anniversaire (célébrées sur Zoom ou Teams), exposant ainsi les dates de naissance; les adresses de domicile par le biais de photos révélant des adresses sur des colis Amazon ou du courrier postal; et les noms des membres de la famille, des enfants et des animaux domestiques. »
Les risques qu’ils représentent
Pour mettre les choses en perspective, de telles données identifiables peuvent être assemblés par des attaquants pour vous contacter par e-mail, en faisant semblant d’être une connaissance de travail-ou de l’ingénierie sociale, un ami avec qui vous n’avez pas été en contact depuis un certain temps. Ces attaques peuvent, dans l’une des méthodes, inclure des e-mails avec des pièces jointes qui vous adressent directement. Il suffit de piquer l’intérêt d’une cible , assez pour lui faire télécharger la pièce jointe envoyée par e-mail. Une fois téléchargées, les pièces jointes peuvent utiliser l’un des milliers de logiciels malveillants disponibles pour un coût minime, offrant ainsi aux attaquants une route directe pour accéder à vos fichiers sur votre PC de travail.
Comme Nurse l’explique plus loin, «Par exemple, un attaquant peut contacter un employé sous le couvert d’un fournisseur connu, en s’appuyant sur des informations recueillies à partir d’un e-mail. Ou, ils peuvent entrer en contact avec l’employé, se faisant passer pour le service informatique et avec une demande que le membre du personnel mette à jour des logiciels clés dont seuls les employés internes seraient (devraient!) Connaître.
“Dans les deux cas, les employés peuvent être amenés à fournir des fichiers ou des données plus sensibles, être dirigés vers le téléchargement de logiciels malveillants ou exploités via une série d’autres attaques. Il y a eu des problèmes similaires avec de nombreuses violations de données dans le passé où des serveurs d’entreprise non sécurisés en ligne ont divulgué des données, y compris des millions d’enregistrements commerciaux et clients », ajoute-t-il.
Les dangers des publications occasionnelles sur les réseaux sociaux
Bien que de tels risques ne soient pas apparents au début, Nurse établit la dernière tactique préférée utilisée par les cyber-attaquants sur Internet ouvert-l’ingénierie sociale. De tels processus peuvent aider les utilisateurs malveillants à créer votre carte numérique en utilisant vos publications sur les réseaux sociaux, et à utiliser ces données pour gagner votre confiance et vous inciter à télécharger des charges utiles de ransomwares, de logiciels malveillants et de stalkerware. Dans les cas extrêmes, de telles tactiques sont utilisées pour cibler des célébrités et des personnalités afin de les infecter avec des logiciels espions.
En tant que conseil de sécurité général, les utilisateurs sont priés de ne télécharger aucune pièce jointe à partir d’e-mails où ils n’ont pas personnellement confiance en l’expéditeur. Pour les vidéoconférences, il est conseillé aux utilisateurs d’utiliser des arrière-plans virtuels ou neutres qui n’ont pas de détails identifiables, et en général, les publications sur les réseaux sociaux sont mieux réduites au minimum.
