Les autorités de maintien de l'ordre et de cybersécurité de Singapour ont chiffré à 11,8 millions de dollars (15,1 millions de dollars singapouriens) les pertes causées par une campagne d'escroquerie reposant sur de fausses offres d'emploi dans la cryptomonnaie et sur la compromission de systèmes logiciels d'entreprises — une fraction du problème plus large des escroqueries dans la Cité-État, qui a coûté aux victimes un montant record de 1,1 milliard de dollars singapouriens, tous types d'escroqueries confondus, en 2024, selon les chiffres annuels de la police.

Dans un avis conjoint publié vendredi par la police de Singapour (Singapore Police Force) et l'Agence de cybersécurité de Singapour (Cyber Security Agency of Singapore), et relayé par The Straits Times et Channel NewsAsia, les agences ont détaillé comment des escrocs se faisant passer pour des recruteurs d'entreprises de cryptomonnaies ont utilisé de fausses offres d'emploi pour compromettre les employeurs de leurs cibles.

Selon les agences, une victime a d'abord été approchée sur LinkedIn par une personne se faisant passer pour un recruteur d'une entreprise de cryptomonnaies — un appât qui passe inaperçu sur une plateforme où les démarches non sollicitées de recruteurs sont monnaie courante et où l'on compte plus d'un milliard de comptes. La conversation s'est ensuite poursuivie par e-mail, l'expéditeur utilisant un domaine usurpé ressemblant étroitement à celui d'une entreprise légitime. Plusieurs entretiens ont ensuite eu lieu sur Google Meet, le recruteur gardant sa caméra désactivée tout au long des échanges.

La victime a ensuite été redirigée vers un site web contrefait pour y réaliser une évaluation technique de codage — et l'a fait sur un appareil fourni par son entreprise, téléchargeant au passage, sans s'en rendre compte, un logiciel malveillant.

Ce logiciel malveillant a capturé un jeton de session, la chaîne de caractères qu'un service émet pour maintenir un utilisateur connecté. Comme ce jeton représente une session déjà authentifiée, sa présentation a permis aux attaquants de contourner l'authentification multifacteur et d'ouvrir le compte Bitbucket de la victime, dans lequel l'entreprise stocke et gère son code source. Le vol de jetons de ce type constitue une limite reconnue de la MFA classique, puisqu'une session détournée ne déclenche jamais de nouvelle demande de connexion — l'une des raisons pour lesquelles les professionnels de la sécurité préconisent des approches résistantes au hameçonnage, comme les clés de sécurité matérielles.

De là, indiquent les agences, les attaquants ont altéré les systèmes logiciels de l'employeur et accédé à ses serveurs internes, collectant des identifiants ensuite utilisés pour contourner les limites de transaction et les contrôles d'approbation, et déplacer des fonds.

L'avis ne nomme aucune entreprise concernée, ne précise pas où sont partis les fonds et n'attribue les attaques à personne. Decrypt a sollicité LinkedIn pour un commentaire et mettra à jour cet article si l'entreprise répond.

Un modus operandi bien documenté

Ce schéma est bien documenté. Des chercheurs suivent une opération de longue date qu'ils ont baptisée « Contagious Interview », dans laquelle de faux recruteurs orientent les développeurs Web3 vers du code malveillant, avec notamment plus de 300 packages piégés téléversés sur le registre npm.

Un groupe connu sous le nom de TraderTraitor a utilisé de fausses offres d'emploi pour atteindre les systèmes cloud d'entreprises plutôt que des portefeuilles individuels — une approche qu'un chercheur explique par le fait que c'est là que se trouve l'argent. D'autres se sont fait passer pour des recruteurs de Coinbase et d'Uniswap afin d'inciter leurs cibles à exécuter des commandes.

Ces campagnes sont attribuées à des pirates informatiques nord-coréens, mais ce modus operandi ne leur appartient pas en propre. Le groupe rusophone Crazy Evil a monté une entreprise Web3 entièrement fictive, ChainSeeker.io, et a publié des offres de postes d'analyste blockchain afin d'attirer des candidats et de les amener à installer un logiciel malveillant vidant leurs portefeuilles.

Recommandations officielles

Les agences singapouriennes conseillent aux particuliers de vérifier les recruteurs via des canaux officiels, de considérer un recruteur qui refuse d'activer sa caméra comme un signal d'alerte et de ne jamais exécuter du code provenant d'une source non vérifiée.

Pour les entreprises, elles recommandent de sécuriser les clés API et les identifiants internes, de renforcer l'authentification multifacteur et de surveiller les appareils inconnus ainsi que les activités réseau inhabituelles.

En cas de suspicion de compromission, elles conseillent d'isoler les systèmes affectés, de révoquer les sessions actives, de réinitialiser les identifiants et d'examiner les journaux d'accès.