Une campagne cybercriminelle sophistiquée a ciblé les employés de plusieurs grandes sociétés américaines de capital-investissement, dont Blackstone, Apollo Global Management et KKR, en utilisant des appels téléphoniques trompeurs conçus pour voler les identifiants des employés et contourner l'authentification multifactorielle.

Selon Google, les attaquants ont eu recours à l'ingénierie sociale plutôt qu'à des logiciels malveillants avancés. Ils se sont fait passer pour du personnel du support informatique interne, appelant fréquemment les employés sur leurs téléphones mobiles personnels tout en usurpant des numéros de téléphone d'entreprise légitimes. Les appelants prétendaient qu'il existait un besoin urgent de mettre à jour les paramètres de sécurité, les clés d'accès ou l'authentification multifactorielle.

Le fonctionnement de l'attaque

La campagne a combiné des appels téléphoniques convaincants avec des sites de phishing spécifiques à chaque entreprise qui imitaient de près les portails légitimes de support informatique. Les victimes étaient invitées à se connecter ou à saisir des codes d'authentification à usage unique, permettant aux attaquants de capturer les mots de passe et les identifiants de session en temps réel. Cette approche — parfois appelée vishing hybride — reflète une tendance plus large dans laquelle les attaquants, face à l'adoption généralisée de l'authentification multifactorielle, ciblent de plus en plus la couche humaine plutôt que de tenter de vaincre les contrôles techniques directement.

Google a signalé que les hackers ont construit une infrastructure de phishing personnalisée pour plus de 200 organisations sur une période de cinq semaines. Outre Blackstone, Apollo et KKR, les autres cibles identifiées comprenaient Bain Capital, TPG, CME Group, Moody's, Clearlake Capital, Bridgewater Associates, ainsi que plusieurs cabinets d'avocats et entreprises.

Un ciblage croissant des entreprises financières

Les chercheurs en cybersécurité estiment que les attaquants ont de plus en plus orienté leurs efforts vers les sociétés de capital-investissement, les institutions financières et les entreprises de services professionnels, attirés par les informations financières hautement sensibles et les accès privilégiés que possèdent ces organisations. Les sociétés de capital-investissement, en particulier, gèrent des données transactionnelles confidentielles, des informations sur les partenaires associés et des stratégies d'entreprises en portefeuille — des éléments qui pourraient être utiles pour le délit d'initié, l'extorsion ou le renseignement concurrentiel en cas de vol.

Google a identifié les acteurs de la menace sous plusieurs alias, notamment Redact, Pink, Falcon et Helix. Bien que certaines organisations aient apparemment payé des rançons, il reste incertain de savoir quelles entreprises, le cas échéant, ont été compromises avec succès. Les sociétés ciblées ont largement refusé de commenter publiquement.

La campagne souligne que les attaques axées sur l'humain restent parmi les techniques les plus efficaces dont disposent les cybercriminels. Plutôt que d'exploiter des vulnérabilités logicielles, les attaquants ont manipulé les employés pour qu'ils remettent volontairement leurs identifiants — soulignant l'importance de vérifier les demandes informatiques inattendues via les canaux internes officiels et de ne jamais partager de mots de passe ou de codes d'authentification par téléphone.