Swiss Security Hackademy

Retour aux articles

Les terminaux mobiles, nouvel axe d’attaque des pirates informatiques

---

Auteur : Yoann Le Corvic

Date de publication : 4 février 2020 - Dernière mise à jour : 4 février 2020

---

L’adoption des terminaux mobiles en complément des équipements informatiques « traditionnels » est un fait, et la tendance ne s’inversera pas, bien au contraire. D’autant que ces terminaux sont de plus en plus conçus pour être gérés dans un contexte professionnel.
Les cybercriminels ne sont pas en reste…. Eux aussi ont tendance à adopter ces nouveaux modes de communication mobiles, et tentent, souvent avec succès, d’étendre leur domaine de compétences à ce secteur.

Sécurité mobile ou sécurité PC, même combat !

Que l’on utilise un PC sous Windows 10, un smartphone ou une tablette Android, un iPhone / iPad… les types de menaces sont sensiblement les mêmes.

• Malware / ransomware
• Interception réseau
• Perte / vol du terminal
• Phishing

La différence réside souvent dans une perception un peu différente du smartphone de la part de l’utilisateur final, se manifestant par une vigilance légèrement atténuée lors de l’utilisation d’un smartphone. Et pourtant, les menaces sont réelles.

Focus sur le « Phishing » : Une technique « moyenâgeuse » …

2 Janvier 1996 : c’est la date communément admise, basée sur les traces « Internet », de l’apparition du terme « Phishing ». L’objectif principal en ce temps, était de récupérer des numéros de carte de crédit pour ouvrir des comptes « AOL » visant à héberger des sites de partage de logiciels piratés (Warez).

Voilà près d’un quart de siècle que cette technique fait des victimes, et l’avènement du tout connecté nous amène davantage vers le pire que vers le meilleur. Les numéros de cartes de crédit sont toujours intéressants pour les « phishers », mais depuis 1996 bien d’autres opportunités sont apparues :

• L’avènement des paiements dématérialisés comme par exemple PayPal
• Le développement des systèmes de e-Banking
• L’explosion du e-Commerce
• L’augmentation des possibilités d’accès distants aux entreprises (facilitant notamment l’espionnage industriel)
• Et pas des moindres, la mobilité généralisée grâce aux smartphones, tablettes et à l’augmentation de la qualité des connexions Internet associées (la 5G Arrive…)

Tout ceci fait que le terrain de jeux pour les cybercriminels est de plus en plus vaste et dense. Qui plus est, le DarkNet aidant, un marché pour la revente de leur butin existe et accroît encore leur motivation.

… mais toujours efficace !

Quoi de plus simple pour obtenir une information que de la demander à son propriétaire avec l’aplomb suffisant et un soupçon d’argumentation ou d’intimidation si nécessaire. Et à ce jeu, l’imagination des phishers est sans limite…

Tout le monde est habitué aux messages de phishing du millionnaire étranger prêt à vous laisser une partie de sa fortune si d’abord vous l’aidez financièrement pour qu’il puisse récupérer ses liquidités...

Cependant, certaines attaques bien plus travaillées et ciblées sont plus difficiles à détecter. Et dans un contexte mobile où le périmètre du système d’information devient plus flou, la technique est d’autant plus redoutable.

Un phishing réussi

On peut distinguer deux notions nécessaires dans la majorité des cas de phishing aujourd’hui.

• Le spoofing : mise en service d’une plateforme aux couleurs de l’entreprise ciblée permettant de collecter les mots de passe, numéros de cartes de CB. Le spoofing peut être associé à de techniques de DNS Hijacking, ou DNS Squatting pour tromper l’utilisateur. A titre d’exemple pour le DNS Squating, notez-vous la différence entre www.e-xpertsolutions.com et www.e-xpertsolutiions.com ?
• Le message de phishing : invitant les cibles à se connecter à la plateforme pour fournir les informations demandées.

Donc pour s’en protéger il faut agir sur au moins un de ces facteurs.

Mobilité et phishing

Le phishing est dans la plupart des cas agnostique au regard de la plateforme utilisée par vos utilisateurs : un courriel de phishing qui arrive dans la boite mail de l’utilisateur sur son poste de travail arrivera de la même manière dans la boite mail de son smartphone ou de sa tablette. Mais quelques vecteurs spécifiques aux équipements mobiles existent :

• Smishing : phishing par SMS
• Vishing : phishing par téléphone

Le problème de fond dans la problématique du phishing, c’est qu’on ne peut pas « empêcher » un utilisateur de cliquer sur un lien aussi simplement que de bloquer un flux sur un pare-feu… Surtout quand on parle du smartphone personnel d’un collaborateur. Nous chercherons donc à agir sur différents moyens (techniques ou non) pour réduire le risque.

Enterprise Mobility Management : VMWare Workspace One UEM

Gérer son parc mobile est le prérequis à la gestion de la sécurité du parc. On peut sécuriser que ce que l’on connait !

Les solutions Enterprise Mobility Management (EMM), comme VMWare Workspace One UEM, ont plusieurs rôles :

• Asset Management : Identifier tous les terminaux mobiles de l’entreprise, et d’en identifier son possesseur. A noter, que la notion de mobilité peut être élargie à tout PC Windows 10, et MacOS si nécessaire.
• Politique de sécurité : Appliquer une politique de sécurité sur les terminaux mobiles gérés pour atteindre les mêmes niveaux d’exigence que les systèmes « protégés » dans le périmètre du S.I. interne. A titre d’exemple, un cas d’usage très fréquents chez nos clients consiste à injecter un certificat sur les smartphones pour permettre une authentification forte à certains services comme les VPN ou les accès aux emails.
• Compliance : Vérifier l’état du terminal et prendre des actions si des non-conformités sont détectées.
• Conteneurs sécurisés : Construire un « bastion » sécurisé dédié aux ressources professionnelles (applications, données, PIM) sur un terminal. Ce cas s’applique en particulier dans le cas où le terminal appartient au collaborateur et non à l’entreprise (Bring Your Own Device)
• Cycle de vie : En cas de perte, de vol, ou de départ d’un collaborateur de l’entreprise ; Supprimer tout l’environnement professionnel.

Les infrastructures EMM contribuent à lutter contre plusieurs types de menaces :

• Malware / ransomware : grâce à la création de conteneurs, les applications installées dans l’environnement professionnel sont strictement contrôlées et maîtrisées, tandis que les « autres » applications hors du conteneur professionnel n’ont aucun accès aux données d’entreprise
• Interception réseau : l’EMM permet de configurer des canaux réseaux sécurisés, et fortement authentifiés, vers les passerelles VPN de l’entreprise, notamment par l’intermédiaire de « Per App VPN »
• Perte / vol du terminal : l’EMM permet de supprimer tous les éléments gérés par l’entreprise rapidement
• Phishing : l’utilisation des serveurs de messagerie d’entreprise permet alors de s’appuyer sur les mécanismes de sécurité existant pour bloquer les courriels indésirables, souvent à l’origine de campagnes de phishing. Par ailleurs, le navigateur du conteneur peut utiliser un proxy d’entreprise pouvant être configuré avec un service de détection de site de phishing : un dernier rempart pour les utilisateurs ayant mordu à l’hameçon…

Endpoint Security: Checkpoint SandBlast Mobile

L’EMM peut être complété par la solution Checkpoint SandBlast qui offre un panel de fonction de sécurité assez large pour contrer les différents types de menaces :

• Malware / ransomware : Validation des applications installées sur le terminal, détection de vulnérabilités sur le terminal.
• Interception réseau : Détection d’attaques Man-in-the-middle.
• Phishing : Mécanismes anti-phishing sur les applications courriel, SMS, réseaux sociaux, couplé à des systèmes de filtrage d’URL et de blocage des sites dangereux grâce au service Checkpoint ThreatCloud.

La solution permet également de remonter l’état de conformité, et le niveau de dangerosité du terminal à la console Workspace One par l’intermédiaire de tags. L’EMM peut ensuite prendre des actions :

• Avertir l’utilisateur ou le responsable sécurité,
• Supprimer certaines données d’entreprise,
• Limiter certains accès,
• Et si le risque est important, aller jusqu’à la suppression complète des données d’entreprise du smartphone.

« Sécuriser » l’humain

Les mécanismes techniques décrits ci-dessus sont efficaces, mais pas infaillibles. Suivant votre organisation, et les choix d’architecture « mobilité », la partie professionnelle peut être relativement facile à garder sous contrôle. Mais que ce passe-t-il si l’utilisateur reçoit un mail de phishing sur son courriel personnel sur équipement BYOD ? Ou même tout simplement sur un autre terminal ?

Nous touchons alors aux limites des solutions techniques, et devons travailler sur un autre axe : l’utilisateur, le facteur humain.

Sensibiliser

Faire passer les bons messages, pertinents pour votre secteur d’activité et surtout dans un format ludique et intéressant.

Tester

De façon régulière, évaluer l’esprit critique de vos collaborateurs en organisant des campagnes de phishing « test ».

Deux sujets sur lesquels e-Xpert Solutions peut vous accompagner.