Phishing : des milliers de mots de passe volés apparaissent en clair sur Google

Une campagne de phishing a révélé publiquement des milliers de mots de passe volés à des entreprises des secteurs de la construction et de l'énergie. Les hackers ont utilisé des sites WordPress pour héberger les données subtilisées. Celles-ci se sont alors retrouvées indexées par Google, les rendant donc accessibles par n'importe qui.

Alors que Google détecte plus de 18 millions de malware et mails de phishing par jour, il peut arriver que la plateforme indexe elle-même des fichiers comprenant des données volées. C'est en effet ce qu'il s'est passé après une campagne de phishing massive, dont plusieurs entreprises des secteurs de la construction et de l'énergie ont été victimes. Les données volées ont été rendues publiques, et donc disponibles par n'importe qui via une simple requête sur le moteur de recherche.

Pour envoyer leur mail frauduleux, les hackers ont utilisé un serveur Linux hébergé sur Microsoft Azure ainsi que des adresses mail piratées pour étouffer les suspicions. Un fichier HTML était joint dans le message, dans lequel était inclus un code Javascript. C'est ce dernier qui récupérait les informations de la victime, avant de la renvoyer vers une page de connexion classique. “Bien que cette attaque peut paraître simple, elle a réussi […] à voler les identifiants de plus d'un millier d'employés”, souligne Check Point, qui a révélé l'affaire.

Des hackers rendent publics des milliers de mots de passe volés

Les données ainsi subtilisées ont été stockées au sein d'un réseau de sites créés grâce à WordPress. Les hackers ont utilisé les noms de domaine de ces derniers pour traiter et conserver les identifiants. Un fichier était alors créé, devenu nécessairement public de par la nature du serveur utilisé qui, selon Check Point, resterait en ligne pendant deux mois. À partir d'une simple recherche Google, il est donc possible de retrouver les mots de passe volés.

À lire également : “Votre pénis m’appartient” – un hacker verrouille des ceintures de chasteté pour extorquer de l’argent

“Les attaquants préfèrent généralement utiliser des serveurs compromis au lieu de leur propre infrastructure en raison de la réputation reconnue des sites existants”, explique Check Point.  “Plus une réputation est reconnue, plus il y a de chances que le mail ne soit pas bloqué par les fournisseurs de sécurité”. La société indique avoir prévenu Google de l'affaire, sans préciser si les données en question ont été retirées du moteur de recherche.

Source : Check Point