REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Un document chiffré ne garantit pas la fiabilité de son contenu. Cofense analyse un leurre commercial qui utilise un PDF protégé et plusieurs écrans de partage pour conduire le destinataire à saisir ses identifiants sur une page contrôlée par l’attaquant.
Déroulement décrit par la source
- Le message se présente comme une invitation à soumissionner et annonce les détails du projet dans un PDF protégé par mot de passe.
- Après déverrouillage, le PDF montre un bouton imitant OneDrive, dont le lien ne pointe pas vers un domaine de ce service.
- Le faux espace documentaire mène à une imitation de connexion Microsoft ; les identifiants saisis sont envoyés au serveur de l’attaquant.
Comprendre les mécanismes et les enseignements
- Le chiffrement peut empêcher une partie de l’inspection automatique sans apporter aucune garantie sur l’expéditeur. Un document protégé doit donc rester soumis aux mêmes vérifications métier qu’une pièce jointe ordinaire, particulièrement s’il arrive sans sollicitation préalable.
- Chaque écran supplémentaire peut renforcer l’engagement du destinataire dans le scénario. Pour interrompre ce parcours, une consigne claire vaut mieux qu’une recherche d’erreurs graphiques : rejoindre le service attendu depuis son point d’entrée connu.
Les vérifications défensives utiles
- Définir un circuit de validation des appels d’offres inattendus avec l’équipe commerciale. Vérifier la demande auprès du contact par des coordonnées déjà connues et prévoir un moyen de transmettre le fichier suspect à l’équipe sécurité sans le rouvrir.
- Adapter l’analyse des pièces jointes aux fichiers protégés. Préserver le message original et le mot de passe fourni pour l’équipe compétente, puis examiner le document dans un environnement isolé ; ne pas distribuer le contenu déchiffré aux autres salariés.
- Si une personne a saisi ses accès, révoquer ses sessions et changer le secret depuis un poste sain. Rechercher les connexions, règles de boîte et autorisations inhabituelles, puis vérifier si d’autres destinataires ont reçu le même thème commercial.
Portée et limites
Cofense décrit un parcours de phishing précis, sans bilan de victimes ni preuve que tous les destinataires ont suivi chaque étape. La possibilité d’un expéditeur légitime compromis reste une explication générale du rapport ; elle n’établit pas l’origine de tous les messages de cette campagne.
Rapport original
Locked and Loaded: Phishing through Fake Bids and Protected Documents — cofense.com.