Sécurité IT : les pirates sont aussi des commerciaux

Disponibilité le week-end, recours à des tiers pour assurer la sécurité des transactions, offres découverte, programmes de fidélité, formules « satisfait ou remboursé »… Une logique poussée de service client s’est développée chez les hackers qui revendent leurs prestations au marché noir.

C’est le principal enseignement à tirer de l’édition 2016 du rapport « Underground Hacker Marketplace » (document PDF, 25 pages) établi par SecureWorks.

Le fournisseur de solutions de sécurité rattaché à Dell constate que les pirates n’hésitent plus à pratiquer les heures supplémentaires… et plus globalement à démontrer leur professionnalisme dans un contexte de forte concurrence.

Pour illustration, on citera ce hacker qui propose des tests gratuits de quelques minutes pour des attaques DDoS, quand l’un de ses « confrères » s’appuie, en échange d’un petit pourcentage, sur un « intermédiaire de confiance » pour assurer la gestion de la clientèle.

D’année en année, l’évolution du prix des outils, services et données vendus au marché noir n’est pas uniforme.

Vos papiers

Les indicateurs sont en hausse pour les informations de base rattachées à une carte Visa ou MasterCard : elles se sont achetées 7 dollars en moyenne en 2015, contre 4 dollars en 2014.

Avec des éléments supplémentaires comme la date d’expiration, le nom du porteur et le cryptogramme, on peut monter à plusieurs dizaines de dollars. Les cartes asiatiques se monnayent plus cher que les européennes, elles-mêmes plus onéreuses que les américaines.

On atteint la centaine de dollars pour l’IP associée à une machine, ainsi que pour un compte de réseau social. Les identifiants et mots de passe pour les messageries d’entreprise vont chercher dans les 500 dollars.

On passe à plus de 1 000 dollars pour un passeport falsifié, contre 140 à 250 dollars pour une carte de Sécurité sociale et moins de 200 dollars pour un permis (238 dollars en France).

Concernant les transferts de fonds, plus il y a d’argent sur les comptes, plus le taux de commissionnement est bas – il oscille généralement entre 1 et 5 %.

Les points de fidélité des chaînes hôtelières et des compagnies aériennes se vendent également. Surtout parce qu’il existe des services comme Flip My Miles sur lesquels on peut les échanger contre du cash.

Chiffrement : les prix montent

Les prix sont moins élevés pour ce qui est des outils de piratage. Ainsi un trojan de type BlackShades ou DroidJack ouvrant une porte dérobée coûte-t-il entre 5 et 10 dollars (contre 20 à 50 dollars en 2014).

Cette « banalisation » vaut aussi pour les attaques DDoS, proposées entre 5 et 10 dollars de l’heure et 30 à 55 dollars par jour. Idem pour les tutoriels, qu’il s’agisse de cryptographie, de phishing ou d’injection SQL.

Les prix qui augmentent sont plutôt ceux des logiciels de chiffrement (Aegis, Beef, Spoof, Inferno Worm…) exploités pour compliquer la détection des malware. Il faut compte entre 80 et 440 dollars pour en acquérir un sur le marché noir.

La tendance est aussi à la vente de packs « prêts à l’emploi » portant sur des entreprises. Ils peuvent contenir, pêle-mêle, des accès aux comptes bancaires, des statuts, des enregistrements fiscaux, les documents d’identité de responsables, etc.

Crédit photo : Mclek – Shutterstock.com