Renseignement sur les menaces : fuites et vols de mots de passe
Ce que disent les vérifications quotidiennes des sites de fuite, des voleurs de mots de passe et d’abuse.ch sur vos domaines et fournisseurs, et que faire.
Une fois par jour, la carte Renseignement sur les menaces d’un domaine demande à trois sources spécialisées si le domaine apparaît là où les attaquants laissent des traces. La carte apparaît après la première vérification ; une source ne montre rien tant qu’elle n’est pas active sur le service.
Sites de fuite de rançongiciels
Les groupes de rançongiciels publient le nom des organisations qu’ils disent avoir attaquées, pour les pousser à payer. La source, ransomware.live, rassemble ces revendications. Nous signalons une revendication quand le site de la victime est votre domaine ou un de ses sous-domaines : une société qui partage seulement un mot avec votre nom n’est pas signalée.
Une revendication n’est pas une preuve : les groupes mentent parfois, recyclent d’anciennes données ou confondent deux sociétés. Vérifiez d’abord avec vos équipes. Si la revendication est fondée, c’est un incident important : ouvrez-le dans Incidents pour suivre les échéances NIS2.
La même vérification a lieu une fois par jour pour les fournisseurs que vous suivez : un fournisseur revendiqué par un groupe porte une étiquette rouge dans la liste. Interrogez-le, vérifiez quelles données et quels accès il détient pour vous, et préparez-vous à une interruption si vous dépendez de lui.
Ordinateurs infectés par des voleurs de mots de passe
Certains logiciels malveillants volent les mots de passe, cookies et sessions ouvertes enregistrés dans le navigateur d’un ordinateur, puis les revendent. La source, Hudson Rock, compte les ordinateurs infectés des salariés (les personnes dont les comptes de travail sont sur votre domaine) et des utilisateurs ou clients (les personnes ayant un compte sur vos sites). Nous recevons des nombres, des dates et le nom des applications sensibles vues dans les données volées, comme un VPN ou un portail d’authentification unique ; jamais un identifiant ni un mot de passe.
Pour les salariés : changez les mots de passe des comptes concernés, fermez leurs sessions ouvertes, exigez l’authentification à plusieurs facteurs et faites vérifier les ordinateurs. Un nombre qui ne change pas est une ancienne nouvelle ; la carte indique quand une infection plus récente apparaît.
Adresses malveillantes
abuse.ch recense les adresses qui distribuent des logiciels malveillants (URLhaus) et les indicateurs d’attaque (ThreatFox). Si votre domaine ou un de ses hôtes y figure, votre site a probablement été compromis : vérifiez les fichiers et les comptes du serveur, nettoyez-les, puis demandez à abuse.ch de retirer la mention. Une entrée que les sources ne citent plus disparaît de la carte.
Alertes
À partir de l’offre Solo, chaque nouvelle revendication, infection plus récente ou nouvelle mention est envoyée une fois à vos canaux d’alerte. Avec l’offre gratuite, la vérification a lieu une fois par semaine et la carte montre les résultats, sans alerte.