Snapchat piraté : les conséquences d’une erreur humaine
L’identité du CEO de Snapchat a été usurpée pour tromper la vigilance d’un employé RH… qui a transmis des données sensibles sur plusieurs de ses collègues.
L’erreur est humaine… et elle met Snapchat dans l’embarras.
Vendredi dernier, un employé de la société affecté à la gestion de la paye a répondu à un e-mail qu’il croyait provenir du CEO Evan Spiegel, mais qui lui avait en fait été envoyé par un pirate.
N’ayant pas décelé l’attaque, il a fourni, comme il lui était demandé, des données personnelles sur un certain nombre d’employés, actuels et anciens.
Dans sa contribution blog publiée dimanche pour faire état de l’incident, Snapchat reste très évasif sur le type d’informations qui ont fuité. Il s’agit potentiellement de coordonnées bancaires, de numéros de Sécurité sociale et de fiches de paye.
La start-up américaine connue pour son application de messagerie instantanée « éphémère » évoque un assaut isolé. Elle précise avoir offert aux salariés concernés deux ans d’assurance contre l’usurpation et le vol d’identité, tout en prenant contact avec le FBI pour une enquête.
Ce phishing ultra-ciblé a très certainement impliqué un travail d’ingénierie sociale pour définir précisément le profil du collaborateur ciblé. Ce qu’on ignore, c’est si l’auteur de l’assaut a réussi à prendre le contrôle de la messagerie d’Evan Spiegel ou s’il a simplement fait en sorte que son nom s’affiche dans le champ expéditeur.
Cette tendance des cybercriminels à exploiter les failles humaines plutôt que les vulnérabilités des systèmes informatiques s’illustre dans l’édition 2016 du rapport « The Human Factor », récemment dévoilée par Proofpoint.
Le fournisseur américain de solutions de sécurité IT constate que l’e-mail reste un canal privilégié, avec des campagnes de plus en plus ciblées, sur la base de messages semblant généralement provenir de hauts responsables de type DG ou directeur financier.
Dans le cas présent, un outil de prévention des pertes de données (« Data loss prevention ») aurait peut-être pu bloquer le transfert d’informations aussi sensibles. On peut aussi penser à des solutions d’analyse comportementale qui auraient par exemple détecté une connexion à un horaire ou à un endroit inhabituel.
Snapchat avait déjà été victime d’un piratage en 2014. À la clé, l’exfiltration de près de 200 000 photos, via des applications tierces compromises. Un épisode particulièrement médiatisé : à l’époque, plus de la moitié des utilisateurs de l’application avaient moins de 17 ans.
Crédit photo : wk1003mike – Shutterstock.com