Un développeur de logiciels a récemment reçu un SMS provenant d’un numéro inconnu. Se présentant comme le service client d’une grande banque, l’expéditeur l’invitait à rappeler un numéro de téléphone introuvable dans le moindre annuaire public. Pour vérifier son identité, l’interlocuteur lui demandait ensuite d’énoncer à voix haute les codes de sécurité confidentiels figurant au dos de sa carte bancaire. Ce message n’avait rien d’un faux : il s’agissait d’une alerte parfaitement officielle émise par sa propre banque. Pourtant, son mode opératoire était rigoureusement indiscernable de celui d’une escroquerie téléphonique internationale.
Des parcours d’authentification légitimes qui traversent plus de dix domaines
Les spécialistes de la cybersécurité répètent chaque jour aux usagers le même refrain : ne cliquez jamais sur des liens suspects. Pourtant, dans leurs pratiques courantes, les entreprises ont elles-mêmes anéanti cette règle élémentaire de vigilance. Le développeur maurycyz a décortiqué en détail ce qui constitue aujourd’hui un parcours de connexion d’entreprise classique : l’utilisateur accède au site principal d’une organisation, mais au lieu de demeurer sur ce domaine racine sécurisé, il est immédiatement redirigé vers une adresse de connexion hébergée chez un prestataire tiers.
Sur cette page, le navigateur doit ensuite transiter par une plateforme d’authentification identifiée par une interminable chaîne hexadécimale UUID, avant d’être renvoyé vers un autre fournisseur sans aucun lien pour franchir l’étape d’authentification à deux facteurs (2FA). Au terme de cette course d’obstacles, l’utilisateur est parfois encore acheminé vers un domaine de collecte télémétrique baptisé « centre d’expérience », avant de revenir tant bien que mal sur le domaine racine de l’entreprise initiale.
À l’issue de cette valse des redirections, aucun des formulaires où l’utilisateur a saisi son identifiant, son mot de passe ou son code reçu par SMS n’était hébergé sur le domaine officiel de l’entreprise. Quand les parcours légitimes ressemblent à un enchaînement confus de redirections douteuses, les cybercriminels n’ont nullement besoin de dénicher des failles zéro-day sophistiquées. Il leur suffit d’enregistrer pour quelques euros un nom de domaine orthographié avec une légère faute de frappe, d’intégrer le logo de la marque et un champ de saisie, et de récolter des identifiants sans difficulté. Dans un quotidien de travail où l’expiration des jetons de session déclenche des fenêtres de connexion inopinées à tout moment, plus personne n’est en mesure de distinguer un service authentique d’une tentative d’hameçonnage.
Figure : Capture d’un SMS officiel émanant d’un transporteur. Source : Troy Hunt / troyhunt.com
Comment les pratiques courantes ont détruit toute confiance dans les URL
Le système hiérarchique des noms de domaine (DNS) de l’Internet a été pensé à l’origine avec une parfaite clarté. Du domaine de premier niveau à l’entité exploitante et aux serveurs individuels, cette architecture ordonnée devait constituer le garant le plus solide de l’authenticité numérique. Mais sous le poids de décennies d’externalisation et de services cloud imbriqués sans rigueur, l’élément le plus immédiatement reconnaissable — le domaine de second niveau — se trouve désormais noyé au milieu de chaînes de redirection chaotiques.
Les utilisateurs modernes doivent valider chaque jour des dizaines d’autorisations et d’accès sur leurs smartphones. Faire peser sur le grand public, en état de fatigue cognitive permanente, la lourde responsabilité de déceler le vrai du faux relève d’une fuite des responsabilités d’ingénierie. Lorsque des banques et des établissements financiers envoient couramment des SMS promotionnels truffés de liens raccourcis et opaques, et que les courriels du support client renvoient vers des plates-formes d’enquête tierces inconnues, les entreprises entraînent activement leurs clients à ignorer la structure des adresses Web.
Figure : Un second SMS envoyé le lendemain par le même expéditeur, tout aussi invérifiable. Source : Troy Hunt / troyhunt.com
Enjoindre les utilisateurs à se méfier des liens suspects est devenu une formule creuse. Les liens officiels diffusés par les entreprises paraissent souvent bien plus suspects que des leurres de phishing soigneusement façonnés. Des professionnels de la sécurité racontent devoir classer des courriels professionnels légitimes émis par Microsoft dans leurs courriers indésirables, tant ces messages bardés de traceurs et de liens externes présentent tous les signaux d’une attaque ciblée. Sur les forums techniques, de nombreux ingénieurs confient signaler délibérément comme hameçonnage les courriels officiels de leur propre banque afin de contraindre les équipes de sécurité à ouvrir les yeux sur l’incohérence de leurs pratiques.
Figure : Dans le courriel de suivi trois jours plus tard, la frontière entre communication officielle et méthode d’escroc a totalement disparu. Source : Troy Hunt / troyhunt.com
Quatre exigences d’ingénierie pour restaurer la confiance dans le système
Lassée des discours moralisateurs et inefficaces, la communauté des développeurs a formulé des exigences techniques concrètes, inspirées des normes de protocoles RFC, pour reconstruire la confiance architecturale.
La première règle incontournable est la consolidation du domaine racine. Les grandes organisations DOIVENT (MUST) adosser l’intégralité de leurs activités fondamentales à un domaine racine unique et clairement identifié. Tout service interne touchant à l’authentification ou à des données sensibles DOIT être hébergé sous forme de sous-domaine de ce domaine racine principal. Les appellations improvisées combinant un nom commercial et une plateforme d’hébergement tierce — qui banalisent les adresses suspectes — DOIVENT être définitivement bannies des architectures d’entreprise.
Une rigueur équivalente s’impose sur les canaux de messagerie électronique et de SMS. Lorsqu’un message nécessite la saisie d’informations sur un site tiers, l’équipe technique DOIT déployer une couche mandataire de redirection locale sur ses propres serveurs. Le lien ouvert par le destinataire DOIT appartenir au domaine vérifié de l’entreprise avant d’être réacheminé de manière transparente vers le prestataire final.
Cette logique s’applique tout autant aux réseaux téléphoniques. Les entreprises NE DOIVENT PAS (MUST NOT) inciter les utilisateurs, par SMS ou par courriel, à composer des numéros courts éphémères et invérifiables. Toute coordonnée téléphonique utile DOIT figurer directement sur une page Web officielle accessible depuis le lien sécurisé du message d’origine, et non flotter dans le texte brut et non authentifié d’un SMS.
L’exemple de l’Inde : six mois pour mettre un terme au désordre
Face à l’ampleur de la cybercriminalité, prétendre modifier les réflexes humains par de perpétuelles séances de sensibilisation est voué à l’échec. La seule réponse pérenne réside dans l’isolation physique au niveau de l’infrastructure réseau. L’Inde a apporté l’an dernier une démonstration éclatante en instaurant un cloisonnement strict des noms de domaine et des communications téléphoniques pour tout son secteur financier.
En vertu de ces nouvelles directives, l’ensemble des banques commerciales indiennes ont l’obligation stricte d’opérer exclusivement sous des domaines de premier niveau (TLD) dédiés au secteur bancaire, tandis que les établissements financiers non bancaires se sont vu attribuer des extensions financières spécifiques. Qu’il s’agisse de portails Web, de relevés de compte transmis par courriel ou de passerelles d’authentification internes, chaque service doit impérativement converger sous cet espace de noms réservé.
Les autorités de régulation des télécommunications sont allées encore plus loin en verrouillant les appels téléphoniques sortants. Les appels de service et les notifications transactionnelles des banques ont été regroupés sous le préfixe unique « 1600 ». Placé sous le contrôle direct du ministère des Télécommunications, ce bloc de numéros est exclusivement réservé aux banques, aux services financiers, aux compagnies d’assurance et à quelques organismes publics. Son but est de différencier clairement sur l’écran des téléphones les appels bancaires officiels du démarchage commercial ordinaire. Aucune entité non habilitée ne peut y prétendre. L’État indien n’a accordé qu’une période de transition de six mois, et l’ensemble du réseau bancaire national a migré sans encombre.
Se décharger des failles du système sur l’utilisateur est une faute professionnelle
Ce cloisonnement imposé au niveau des infrastructures fondamentales se révèle infiniment plus efficace que des millions dépensés dans des campagnes d’information. Les utilisateurs n’ont plus besoin d’analyser la hiérarchie du DNS, ni de décortiquer des chaînes de redirection, ni de faire preuve d’une expertise technique pointue. Si une page ne relève pas de l’extension bancaire officielle ou si un appel ne provient pas du préfixe réglementé, il peut être traité comme une tentative d’escroquerie sans la moindre hésitation. Partout dans le monde, les utilisateurs font face au même piège : communications bancaires réelles et escroqueries empruntent les mêmes tuyaux, et la frontière se résume souvent à savoir si un numéro a déjà été répertorié ou non dans une base de données malveillante.
Experte reconnue en ingénierie de la sécurité, Kelly Shortridge souligne fréquemment que l’industrie s’obstine dans une illusion néfaste autour de la « culture de sécurité ». Cette approche revient à faire porter le chapeau aux individus, en exigeant d’eux une vigilance sans faille sur des détails microscopiques au sein de systèmes mal conçus, tout en attendant qu’ils ne commettent aucune erreur dans des gestes répétés des centaines de fois par jour.
Exiger d’un citoyen ordinaire qu’il valide la légitimité d’un prestataire d’authentification au fil d’une dizaine de rebonds équivaut à exiger d’un client d’hôtel qu’il vérifie lui-même le chiffrement RFID de sa clé de chambre. La réforme indienne apporte une démonstration technique sans appel : reporter sur l’usager les défaillances de conception des systèmes constitue la plus grave démission de notre secteur. Tant que les entreprises refuseront d’unifier leurs propres points d’accès d’authentification, les discours de sensibilisation au phishing relèveront de l’aveuglement délibéré.
Références :
- Article original sur maurycyz.com
- Discussion sur Lobsters
- Article connexe de Troy Hunt
- Discussion sur HN
