REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Mandiant et Google Threat Intelligence Group décrivent BREEZE COMET, un acteur financier qui cherche à détourner les capacités de paiement d’organisations brésiliennes. Le cas relie la sécurité informatique aux autorisations transactionnelles et aux moyens de contrôle de la fraude.
Déroulement décrit par la source
- Mandiant enquête depuis 2024 sur des compromissions d’organisations brésiliennes des services financiers, du commerce et du commerce électronique.
- L’acteur cherche à manipuler des logiciels bancaires et des systèmes de paiement pour effectuer des transferts frauduleux.
- Les organisations ciblées disposent d’autorisations transactionnelles sur des logiciels, API ou systèmes tels que Pix, STR et Boleto.
- L’accès à des identifiants mTLS autorisant l’envoi d’ordres authentifiés figure parmi les capacités recherchées pour réaliser ces transferts.
Comprendre les mécanismes et les enseignements
- Une connexion authentifiée n’est pas nécessairement une opération légitime. La protection du transport et des certificats doit être complétée par des contrôles métier sur les bénéficiaires, les montants et les circuits d’autorisation.
- Les équipes de réponse à incident et de lutte contre la fraude doivent partager une procédure. Arrêter un processus suspect sans traiter les autorisations et secrets exposés peut laisser une capacité transactionnelle exploitable.
Les vérifications défensives utiles
- Cartographier les systèmes capables d’émettre des ordres de paiement et les identités qui les utilisent. Identifier les endroits où sont conservées les clés privées et limiter leur accès aux seuls composants nécessaires.
- Vérifier la séparation entre préparation et validation des opérations, puis tester les alertes sur les transactions inhabituelles. Adapter les seuils et les escalades avec les responsables métier plutôt qu’appliquer un seuil universel.
- Organiser un exercice conjoint de confinement technique et transactionnel : interlocuteurs bancaires, révocation des accès, rotation des secrets, préservation des traces et critères de remise en service doivent être connus avant un incident.
Portée et limites
Les observations présentées concernent la campagne étudiée par Mandiant et GTIG. Elles ne démontrent ni une faille intrinsèque de Pix, STR ou Boleto, ni une compromission de toutes les organisations qui utilisent ces systèmes.
Rapport original
Financially Motivated Threat Actor BREEZE COMET Targets Brazil — cloud.google.com.