Une attaque sophistiquée contre une entreprise de cryptomonnaies
Une attaque ciblée contre une entreprise de cryptomonnaies en Asie de l'Est a détruit le portefeuille de l'employé de 11,8 millions de dollars en cryptomonnaies. Les pirates ont utilisé un faux entretien de recrutement sur LinkedIn et un test de code pour compromettre l'ordinateur professionnel du développeur.
Les étapes de l'attaque
L'attaque a commencé avec un message sur LinkedIn, où l'escroc se présentait comme le recruteur d'une entreprise liée aux cryptomonnaies. Le développeur a participé à plusieurs entretiens sur Google Meet, mais son interlocuteur a toujours gardé sa caméra éteinte. Il a ensuite reçu un lien vers un faux site où il devait réaliser un test de programmation.
La faille
La faille décisive de l'attaque n'était pas dans un wallet ou un protocole, mais dans un ordinateur professionnel compromis par un faux recruteur. Les pirates ont dérobé le jeton de session Bitbucket du développeur, ce qui leur a permis d'accéder à son compte et de modifier les instructions de déploiement automatisé des logiciels de l'entreprise.
Les conséquences
Le préjudice atteint 11,8 millions de dollars américains, soit environ 15,1 millions de dollars singapouriens. La police de Singapour et l'agence nationale de cybersécurité recommandent de vérifier chaque recruteur par les canaux officiels de l'entreprise et de refuser tout téléchargement provenant d'un site inconnu.
Les leçons apprises
Cette attaque montre comment un simple test de recrutement peut ouvrir la voie jusqu'aux systèmes financiers d'une entreprise. Les entreprises doivent protéger leurs clés API, renforcer l'authentification multifacteur, surveiller leurs dépôts de code et cloisonner leurs procédures de déploiement.
Les mesures à prendre
En cas de doute, les entreprises doivent isoler immédiatement l'appareil, révoquer toutes les sessions actives, changer les identifiants et vérifier les journaux d'accès. Il est également important de ne jamais exécuter un test technique sur une machine professionnelle connectée aux systèmes internes.
