Exposition au logiciel malveillant Qakbot en 2023

Les catégories de données vérifiées sont les adresses e-mail et les mots de passe. La présence d’un champ de mot de passe peut accroître le risque de prise de contrôle d’un compte si le même mot de passe, ou un mot de passe similaire, a été utilisé sur d’autres services. Les adresses e-mail peuvent aussi faciliter le choix de cibles pour des tentatives d’hameçonnage, de fausses notifications de sécurité ou des messages usurpant l’identité d’un service d’assistance. Dans ce contexte lié à un logiciel malveillant, les utilisateurs doivent envisager conjointement la protection de leurs appareils et celle de leur identité.

Les numéros de téléphone, adresses postales, informations de paiement, identifiants officiels, messages privés, données de santé et autres champs de profil ne font pas partie des catégories vérifiées ici. Il n’est pas non plus possible de conclure qu’un mot de passe était stocké en clair, qu’il est toujours utilisé, qu’il figurait à côté de chaque adresse e-mail ou qu’il correspond à tous les services utilisés par une personne. Il est important de s’en tenir au périmètre vérifié pour ne pas susciter une inquiétude inutile ni donner une fausse impression de sécurité.

L’opération des forces de l’ordre menée en août 2023 visait à perturber l’environnement de fonctionnement du botnet Qakbot et les activités liées au logiciel malveillant. À la suite de cette opération, 6 431 319 adresses e-mail ont été fournies pour faciliter la notification des victimes. Ce nombre représente des identifiants de messagerie uniques, et non un total de victimes, de personnes, d’appareils ou d’utilisateurs confirmé séparément. Il ne permet pas de savoir sur quel appareil une adresse a été observée ni combien de temps un éventuel risque associé a duré.

Les éléments disponibles ne permettent pas de rattacher cette exposition au domaine d’une entreprise particulière, à une liste de clients ou à un site web. Elle ne doit donc pas être présentée comme relevant de la responsabilité d’une entreprise, d’un pays ou d’un prestataire de services. La perturbation des activités du logiciel malveillant n’élimine pas totalement la possibilité que des données obtenues auparavant soient réutilisées. À l’inverse, une correspondance ne prouve pas à elle seule qu’un logiciel malveillant est toujours présent sur un appareil ou qu’un attaquant y a encore accès.

Les personnes dont l’adresse e-mail figure dans les données exposées peuvent être davantage à risque si elles ont réutilisé un mot de passe sur plusieurs services ou conservé longtemps un ancien mot de passe sans le modifier. Les employés utilisant une adresse e-mail professionnelle, les dirigeants, les équipes financières et les personnes ayant accès à des outils d’administration peuvent être ciblés par des tentatives d’hameçonnage ou de détournement de session. Pour ces groupes, les demandes inattendues de réinitialisation de mot de passe, de partage de documents ou d’approbation d’accès reçues par e-mail méritent une vigilance particulière.

Pour les personnes utilisant des appareils partagés ou administrés, le risque peut dépasser le cadre d’un seul compte web. Les anciens profils de navigateur, les mots de passe enregistrés, les outils d’accès à distance et les composants obsolètes du système d’exploitation doivent être examinés. Les personnes qui utilisent la même adresse e-mail à titre personnel et professionnel doivent évaluer les alertes séparément dans chaque contexte et utiliser des canaux officiels connus plutôt que les liens reçus dans un message.

Lorsqu’une correspondance apparaît, modifiez les mots de passe essentiels depuis un appareil dont vous savez qu’il n’est pas infecté. Donnez la priorité aux comptes de messagerie, de gestionnaire de mots de passe, de services financiers, d’accès professionnel et d’outils d’administration, ainsi qu’aux comptes servant à réinitialiser les mots de passe. Choisissez un mot de passe robuste et distinct pour chaque service sur lequel vous utilisiez le même mot de passe ou un mot de passe similaire, fermez les sessions actives et activez l’authentification multifacteur lorsqu’elle est disponible.

Effectuez une analyse de sécurité avec un outil à jour, installez les mises à jour du système d’exploitation et du navigateur, et examinez les extensions ou éléments de démarrage inconnus. Si un appareil professionnel est concerné, prévenez l’équipe de sécurité ou le service informatique et ne tentez pas d’effacer vous-même les éléments de preuve. Au lieu d’ouvrir les liens contenus dans les messages de réinitialisation de mot de passe ou d’alerte de sécurité, accédez directement à l’adresse connue du service concerné. Vérifiez les notifications suspectes d’accès ou d’authentification par un second canal.

L’utilisation d’un mot de passe unique et de l’authentification multifacteur pour chaque service réduit les risques liés à la réutilisation d’identifiants. Un gestionnaire de mots de passe peut vous aider à conserver en toute sécurité des mots de passe longs et aléatoires. Sur vos appareils, gardez les mises à jour automatiques de sécurité et les sauvegardes régulières activées, ainsi qu’une protection à jour contre les logiciels malveillants. Examinez régulièrement les données de connexion enregistrées dans le navigateur et les extensions inutiles.

Les organisations doivent évaluer conjointement la protection des appareils, celle de la messagerie et les journaux d’authentification. Des approbations supplémentaires, un accès conditionnel et des alertes signalant des sessions inhabituelles peuvent être utilisés pour les comptes disposant de privilèges élevés. Les employés doivent être régulièrement formés à vérifier les notifications de sécurité, à signaler les pièces jointes suspectes et à éviter de transmettre des mots de passe dans leurs communications. Ces mesures réduisent également les risques d’usurpation d’identité et de réutilisation qui peuvent persister après l’activité initiale du logiciel malveillant.

Une vérification d’adresse e-mail peut indiquer si une adresse figure dans l’ensemble de données fourni pour faciliter la notification des victimes. Une correspondance ne prouve pas qu’un appareil a été touché chez chacune des personnes concernées, qu’un mot de passe est à jour, que tous les champs figuraient sur une même ligne ou qu’un accès non autorisé est actuellement en cours. Considérez ce résultat comme un signal important vous invitant à examiner la protection de vos appareils et de vos comptes, et non comme un journal technique complet de l’incident.

Après une correspondance, vérifiez d’abord les accès à votre messagerie, les options de récupération et les méthodes d’authentification multifacteur. Ensuite, cessez de réutiliser les mêmes mots de passe sur les services importants, examinez les sessions actives et surveillez les alertes de sécurité. Si un appareil administré ou professionnel est concerné, demandez l’aide de l’équipe compétente. Même en l’absence de correspondance, des mots de passe uniques, des logiciels à jour et une vérification attentive des communications continuent de réduire les risques liés aux logiciels malveillants.