Sécurité en ligne pendant les périodes de fêtes

Les offres de voyage pour les fêtes, les ventes flash et la chasse aux cadeaux de dernière minute créent des conditions idéales pour que les attaquants passent sous les radars. Les attaques de redirection qui imitent des confirmations de réservation ou des e-mails promotionnels conduisent souvent les victimes vers une page CAPTCHA, un schéma auquel les utilisateurs font confiance et qu’ils remettent rarement en question. Mais il ne s’agit pas de vrais CAPTCHA. Les acteurs malveillants s’en servent désormais comme vecteur pour diffuser des consignes d’ingénierie sociale, en incitant les victimes à coller des commandes malveillantes directement dans les invites Exécuter de Windows ou dans les terminaux.

Microsoft Threat Intelligence a récemment alerté sur la forte croissance de ces arnaques ClickFix. Elles ne nécessitent aucune chaîne d’exploitation, seulement une action de l’utilisateur. Cette simplicité les rend hautement évolutives et particulièrement dangereuses pendant les pics saisonniers, lorsque les acheteurs avancent vite et sont plus susceptibles de suivre des consignes en apparence banales.

Par exemple, juste avant Thanksgiving, Microsoft Threat Intelligence a détecté et bloqué une campagne d’hameçonnage à fort volume menée par Storm-0900 et ciblant des dizaines de milliers d’utilisateurs aux États-Unis. L’attaquant avait programmé son opération pour qu’elle tombe un jour férié, au moment où les gens étaient distraits et s’attendaient à recevoir des messages urgents.

Les e-mails utilisaient des leurres familiers comme des contraventions de stationnement, des résultats médicaux et des références à Thanksgiving. Chaque message redirigeait les victimes vers un site contrôlé par l’attaquant, avec un faux CAPTCHA à curseur, suivi d’une invite ClickFix.

Microsoft a perturbé la campagne grâce au filtrage, à la protection des terminaux et au blocage préventif de l’infrastructure des attaquants. Cette campagne illustre parfaitement la façon dont les acteurs malveillants associent des schémas d’expérience utilisateur familiers, comme les CAPTCHA, à des techniques d’exécution par l’utilisateur pour contourner les protections traditionnelles.

À l’approche des fêtes, tout le monde se transforme en véritable expert du suivi des colis. Les acteurs malveillants s’immiscent dans ce réflexe mental. Quand des dizaines de colis sont en circulation, un e-mail de plus annonçant un retard ou demandant une confirmation d’adresse n’éveille pas forcément les soupçons.

Selon le Digital Defense Report, le hameçonnage lié aux expéditions figure parmi les catégories d’usurpation d’identité les plus exploitées. Microsoft Threat Intelligence observe chaque saison des fêtes des pics prévisibles de ces leurres liés à la logistique, les attaquants se faisant passer pour des transporteurs connus comme UPS, USPS, FedEx, Amazon, DHL ou des services postaux régionaux. L’image de marque est crédible, le timing paraît plausible, et les attentes des utilisateurs pendant les semaines de forte activité d’achat rendent ces attaques particulièrement efficaces.

Comme ces campagnes reproduisent des parcours de transaction légitimes et intègrent souvent de vrais numéros de suivi issus de fuites de données ou de boîtes de réception aspirées, il devient de plus en plus difficile pour les utilisateurs de distinguer les notifications authentiques.

La sécurité ne doit pas gâcher les fêtes, mais la vigilance est essentielle dans les périodes de forte activité et de distraction. Les recommandations de Microsoft dans le Kit Be Cybersmart vont toutes dans le même sens : faire une pause, vérifier, ou simplement regarder une deuxième fois fait souvent toute la différence entre rester en sécurité et tomber dans le piège.