Dans les courriels d’extorsion, les cybercriminels menacent de publier des informations compromettantes sur leurs victimes, comme une photo embarrassante, et exigent un paiement en cryptomonnaie. Les attaquants achètent souvent les identifiants de connexion des victimes ou les obtiennent grâce à des violations de données pour « prouver » que leur menace est légitime.
Pour mieux comprendre l'infrastructure financière utilisée par les attaquants dans les e-mails d'extorsion, Barracuda s'est associé à des chercheurs de l'Université de Columbia pour analyser plus de 300.000 XNUMX e-mails capturés par les détecteurs basés sur l'IA de Barracuda Networks sur une période d'un an au cours de laquelle des attaques d'extorsion ont été détectées.
🔎Exemple de lettre de motivation extorquée (Image : Barracuda Networks)
Ci-dessous, nous examinerons de plus près les devises utilisées dans ces attaques, la manière dont les attaquants utilisent les adresses Bitcoin, le volume d'e-mails envoyés et les sommes d'argent demandées.
Crypto-monnaies utilisées par les attaquants d'extorsion
Dans l’ensemble de données examiné, Bitcoin est la seule crypto-monnaie utilisée par les attaquants. Il existe plusieurs raisons pour lesquelles les criminels utilisent Bitcoin comme méthode de paiement préférée pour les rançons. Bitcoin est en grande partie anonyme, les transactions sont traitées via des adresses de portefeuille et n'importe qui peut générer autant d'adresses de portefeuille qu'il le souhaite.
De plus, l’infrastructure entourant Bitcoin est bien développée, ce qui permet aux victimes d’acheter facilement du Bitcoin et aux attaquants d’anonymiser davantage leurs actions à l’aide de ce que l’on appelle des « mélangeurs ». Il s’agit de services conçus pour dissimuler l’historique des transactions en combinant et en séparant de manière aléatoire les Bitcoins de nombreux portefeuilles. De plus, en raison de la nature publique de la blockchain, les extorsionnistes peuvent facilement vérifier si une victime a payé ou non, éliminant ainsi certains des problèmes rencontrés avec les transactions traditionnelles.
Analyse des adresses Bitcoin
Bien que Bitcoin soit anonyme, vous pouvez toujours obtenir des informations très intéressantes sur les attaquants et leur comportement en analysant les adresses Bitcoin contenues dans leurs e-mails d’extorsion. Par exemple, si la même adresse Bitcoin est utilisée dans plusieurs e-mails reçus des utilisateurs, cela montre qu’elle appartient au même attaquant ou groupe d’attaquants.
En analysant l’ensemble des données examinées, les chercheurs ont constaté que les attaques se concentraient sur un petit nombre d’adresses Bitcoin. Au total, il y avait environ 3.000 10 adresses Bitcoin uniques, parmi lesquelles les 30 premières apparaissaient dans environ 100 % des e-mails et les 80 premières apparaissaient dans environ XNUMX % des e-mails. Cela suggère qu’un petit nombre d’attaquants sont responsables de la grande majorité des courriels d’extorsion. Ainsi, si vous parvenez à arrêter ces attaquants ou à bloquer efficacement leurs méthodes, une grande partie de cette menace par courrier électronique peut être neutralisée.
Analyse croisée de l'adresse Bitcoin et de l'expéditeur de l'e-mail
Les champs d'e-mail sont un autre élément d'information important pour attribuer des e-mails à des attaquants spécifiques. Par exemple, le champ « Expéditeur » de chaque e-mail peut être considéré comme un proxy pour l'attaquant. Si plusieurs e-mails proviennent du même expéditeur, ils appartiennent au même attaquant. La recherche a regroupé les e-mails par champ « expéditeur » et a compté le nombre d’e-mails envoyés par chaque expéditeur, ainsi que le nombre d’adresses Bitcoin uniques utilisées par chaque expéditeur.
Cela montre que la grande majorité de tous les expéditeurs ont utilisé la même adresse Bitcoin dans leurs attaques. Cela s’applique aussi bien aux attaquants qui ont envoyé un grand nombre d’e-mails qu’aux maîtres chanteurs qui n’ont travaillé qu’avec de petites quantités. De plus, sur les 120.000 3.000 expéditeurs uniques de l’ensemble des données, moins de 500 XNUMX ont envoyé plus de dix e-mails. Seuls huit expéditeurs ont envoyé plus de XNUMX e-mails.
Cela montre que les attaquants sont quelque peu laxistes dans la dissimulation de leur identité et utilisent dans la grande majorité des cas la même adresse Bitcoin pour leurs escroqueries. Cela crée la possibilité que ce petit nombre d’adresses Bitcoin (et d’attaquants) puisse être retrouvé par les forces de l’ordre.
Combien d’argent les maîtres chanteurs exigent-ils ?
Pour mieux comprendre le comportement des attaquants, les chercheurs ont également examiné le montant d'argent exigé par les attaquants et la cohérence de ce montant dans l'ensemble de données examiné. Sur les 200.000 97 e-mails à partir desquels les adresses Bitcoin ont pu être extraites, 2,4 % demandaient des dollars américains, 0,6 % des euros et les XNUMX % restants des livres sterling, des dollars canadiens, des bitcoins, etc. les chercheurs l'ont converti en la valeur équivalente en dollars américains du jour où l'e-mail a été envoyé à des fins de comparaison. Les résultats étaient les suivants :
- Presque tous les attaquants exigent un montant compris entre 400 et 5.000 XNUMX dollars.
- 25 % des e-mails demandent un montant inférieur à 1.000 XNUMX $
- Plus de 90 % des e-mails d'extorsion demandent un montant inférieur à 2.000 XNUMX $
- Les attaquants exigent généralement des sommes comprises entre 500 et 2.000 XNUMX dollars.
Cela suggère que les sommes d’argent exigées par les attaquants sont davantage concentrées dans une zone « idéale ». Ce chiffre est suffisamment élevé pour être significatif pour l'attaquant, mais pas au point d'empêcher la victime d'effectuer le paiement ou de rechercher si l'attaquant dispose réellement d'informations compromettantes (ce qui n'est généralement pas le cas). De plus, le montant ne déclenche pas d’alarme auprès de la banque de la victime ou du fisc.
Moyens de se protéger contre les attaques d’extorsion
Si les forces de l’ordre traquent ne serait-ce qu’un petit nombre d’agresseurs, les opérations criminelles peuvent être gravement perturbées. De plus, à mesure que les extorsionnistes adoptent leurs tactiques les uns les autres, les fournisseurs de sécurité de messagerie devraient être en mesure de bloquer un pourcentage important de ces attaques à l’aide d’outils de détection simples. Voici quatre bonnes pratiques que les entreprises peuvent utiliser pour se défendre contre ces types d’attaques :
- Protection basée sur l'IA : Les attaquants adaptent leurs attaques d'extorsion pour contourner les passerelles de messagerie et les filtres anti-spam. Il est donc indispensable de disposer d'une bonne solution de spear phishing qui protège contre l'extorsion.
- Protection contre le piratage de compte : De nombreuses attaques d’extorsion proviennent de comptes compromis. Il est donc important de s’assurer que les fraudeurs n’utilisent pas l’entreprise comme base pour ces attaques. C’est là que les technologies qui utilisent l’intelligence artificielle pour détecter quand des comptes ont été compromis peuvent être utiles.
- Enquêtes proactives : Compte tenu de la nature embarrassante des escroqueries par extorsion, les employés peuvent être moins disposés que d’habitude à signaler ces attaques. Par conséquent, les entreprises doivent effectuer des analyses régulières des messages envoyés pour identifier les e-mails liés aux changements de mot de passe, aux avertissements de sécurité et à d'autres contenus.
- Formation de sensibilisation à la sécurité : Les entreprises devraient également sensibiliser les utilisateurs aux attaques d’extorsion et intégrer ce sujet à leur programme de formation de sensibilisation à la sécurité. Il convient de veiller à ce que les employés reconnaissent ces attaques, comprennent leur nature frauduleuse et se sentent à l'aise de les signaler. L’utilisation de simulations de phishing permet également de tester l’efficacité de la formation et d’identifier les utilisateurs les plus vulnérables aux attaques d’extorsion.
L'extorsion par courrier électronique constitue une menace importante, les attaquants envoyant des millions de messages malveillants aux victimes chaque année, mais il semble qu'elle soit commise par un petit nombre d'auteurs et que ces groupes utilisent des tactiques similaires. Cela nous rend optimiste quant à la lutte contre cette menace particulière par courrier électronique.
Par le Dr. Klaus Gheri, vice-président et directeur général de la sécurité des réseaux chez Barracuda Networks
À propos des réseaux Barracuda Barracuda s'efforce de rendre le monde plus sûr et estime que chaque entreprise devrait avoir accès à des solutions de sécurité à l'échelle de l'entreprise compatibles avec le cloud, faciles à acheter, à déployer et à utiliser. Barracuda protège les e-mails, les réseaux, les données et les applications avec des solutions innovantes qui évoluent et s'adaptent tout au long du parcours client. Plus de 150.000 XNUMX entreprises dans le monde font confiance à Barracuda pour se concentrer sur la croissance de leur activité. Pour plus d'informations, rendez-vous sur www.barracuda.com.
Articles liés au sujet