Un kit de phishing universel est en vente en ligne!

Si le spam semble mystérieusement sur le déclin en ce début de nouvelle année, une autre menace de la toile est en plein essor, le phishing ou hameçonnage.

Certains garnements de la Toile en font même le commerce. Ces derniers proposent à des pirates plus ou moins capables, des kits pour mener à bien ce type d'attaques.

Aujourd'hui, RSA, la division sécurité d'EMC annonce avoir découvert l'existence de forums sur lesquels l'on peut acheter un kit de phishing universel très dangereux pour environ 1.000 euros, clé en main.

Il utilise une technique nommé « Man in The Middle »que l'on peut traduire par « le troisième homme ». En réalité le pirate est positionné entre le client et sa banque et récupère toutes les informations nécessaires.

Ce système permet de faire dialoguer la victime potentielle avec un site Web légitime à travers une URL frauduleuse créée par le pirate afin de capturer en temps réel des informations personnelles sur sa victime.

Avec ce kit universel, il suffit au pirate de créer une URL frauduleuse (grâce à une interface simple et ergonomique !) communiquant en temps réel avec le site Web légitime de l'entreprise ciblée (banque en ligne, site marchand ou toute entreprise gérant des transactions en ligne avec ses utilisateurs).

La victime reçoit ensuite un e-mail « standard » de phishing qui la redirigera directement sur l'URL frauduleuse. Si elle clique sur le lien ; elle verra alors le site légitime (« importés » dans l'URL frauduleuse lors de l'attaque) permettant ainsi au pirate de récupérer de façon invisible, transparente et immédiate des informations personnelles sur sa victime, explique RSA.

« Alors que les établissements mettent en ?uvre de nouveaux outils de sécurité en ligne, les fraudeurs recherchent immanquablement des moyens toujours plus sophistiqués pour duper d'innocentes victimes et leur subtiliser des informations ou ressources. Ces attaques sont considérées comme une nouvelle génération de fraudes, elles devraient se répandre rapidement au cours des 12-18 mois à venir, » commente Gaël Barrez, Responsable Solutions Anti-Fraudes, chez RSA.

« Nous collaborons avec de nombreuses entreprises pour les aider à faire face à toute nouvelle forme de fraude : certaines ont déjà déployé des solutions de protection multi-niveau ; d'autres sont en cours de renforcement de leurs procédures de sécurité. »

Un double avantage pour les fraudeurs.

-Il s'agit d'un kit universel et très simple à configurer (quelle qu'en soit la cible) ? évitant aux fraudeurs d'acheter et de préparer un kit spécifique pour chaque attaque. Après l'avoir acquis et activé, il peut en effet être configuré pour « importer » les pages de n'importe quel site cible.

-Contrairement aux outils de phishing traditionnels, qui ne collectent que les données spécifiques requises (généralement des codes d'accès et habilitations de cartes de crédit), ce kit permet d'intercepter tout type d'information soumise au site après la connexion de la victime à son compte.