Une campagne d’hameçonnage utilise de fausses interviews de grandes marques pour cibler les comptes Google

Une opération d’hameçonnage usurpe l’identité de plus de 30 grandes entreprises, dont Adobe, Netflix, Coca-Cola, OpenAI et d’autres, afin de dérober les identifiants de comptes Google de professionnels du marketing. Selon des chercheurs en sécurité, la campagne repose sur de fausses prises de contact pour des entretiens d’embauche, qui semblent provenir de recruteurs légitimes.

Selon une analyse réalisée par Will Thomas, de Team Cymru, les attaquants envoient des messages prétendant provenir d’équipes de recrutement à la recherche de candidats pour des postes dans le marketing. Les e-mails reprennent les noms et les photos de véritables recruteurs et redirigent les destinataires vers des pages de planification conçues pour paraître crédibles.

Fonctionnement de la campagne

L’opération semble s’appuyer sur des services cloud légitimes afin de dissimuler l’infrastructure malveillante derrière plusieurs niveaux de redirection. Les messages d’hameçonnage utilisent la plateforme de ressources humaines PeopleForce ainsi qu’un domaine associé à Salesforce Marketing Cloud, avant de rediriger les victimes vers une page d’atterrissage malveillante.

Les chercheurs ont constaté que la chaîne de redirections commence par un domaine associé au service ExactTarget de Salesforce, puis passe par Wise Agent, une plateforme CRM basée dans le cloud, avant d’aboutir sur le site d’hameçonnage. Cette approche permet aux liens de paraître fiables tout en rendant leur destination finale plus difficile à repérer.

La campagne utilise au moins 34 domaines qui imitent des marques de plusieurs secteurs :

• Compagnies aériennes et voyages, notamment American Airlines, Booking.com, Delta Air Lines et United Airlines
• Marques de produits alimentaires et de boissons telles que Coca-Cola, PepsiCo et Red Bull
• Marques de mode et de luxe, dont Adidas, Louis Vuitton, Sephora et Levi’s
• Entreprises de recrutement, de conseil et de technologie telles qu’Adobe, Aquent, ManpowerGroup, McKinsey & Company et OpenAI
• Marques de l’hôtellerie, du marketing, du divertissement et du sport, notamment Marriott, Omnicom Group, la FIFA et Netflix

BleepingComputer rapporte que cette activité se poursuit depuis au moins cinq mois. Les premières versions auraient utilisé des adresses Outlook comprenant le nom de l’entreprise usurpée.

Dans un exemple, un message se faisait passer pour un recruteur d’Adidas et invitait le destinataire à planifier un échange. En cliquant sur le lien, l’utilisateur arrivait sur un site qui exigeait une connexion avec Google pour continuer. L’invite de connexion était une imitation dite « navigateur dans le navigateur » : la fausse fenêtre de connexion était directement intégrée à la page au moyen de styles web standard, plutôt que d’être une véritable boîte de dialogue du navigateur.

On ignore encore comment les attaquants ont obtenu l’accès aux services légitimes utilisés dans la chaîne de redirections. Les chercheurs ont indiqué que cet abus ne signifie pas nécessairement que ces plateformes ont été compromises et pourrait impliquer des comptes nouvellement créés ou des identifiants volés.