Un appel qui ressemble à une assistance
Le centre canadien de cybersécurité alerte sur une campagne visant notamment des cabinets juridiques et des entreprises financières. Les appelants se font passer pour l’assistance interne et invoquent une modification urgente de passkey, MFA ou mot de passe. Le numéro affiché peut être usurpé. [1] [3]
- Appel du faux support
- Connexion imitée
- Session détournée
- Accès aux données
De la connexion à la session détournée
La victime est dirigée vers une fausse page. Un relais peut transmettre en temps réel les identifiants et certaines réponses MFA au fournisseur légitime, permettant à l’attaquant d’obtenir une session authentifiée. Toutes les méthodes MFA ne sont pas contournables de cette manière. [1] [3]
Les mesures qui interrompent la chaîne
Vérifiez tout appel inattendu en rappelant un numéro interne connu. Pour les comptes sensibles, utilisez une MFA résistante au phishing, comme une clé FIDO2 ou une passkey liée à l’appareil. Protégez aussi la récupération du compte, la réinitialisation MFA et l’enregistrement des appareils. [1] [2]
Réagir en cas de soupçon
Signalez le cas par le canal interne habituel. Les administrateurs habilités peuvent révoquer sessions et jetons, réinitialiser les identifiants et retirer les méthodes MFA non autorisées. Conservez les journaux de connexion, de messagerie et de fichiers pour l’enquête. [1] [3]