Botnet de spam Trik: fuite de données liée aux logiciels malveillants en 2018

Le seul type de données confirmé est l’adresse e-mail. Les mots de passe, les informations de cartes de paiement, les numéros d’identification officiels, le contenu des messages privés, les adresses postales et les numéros de téléphone ne doivent pas être considérés comme des données dont la divulgation a été confirmée dans cet incident. L’évaluation des risques doit tenir compte de cette limite : les informations disponibles ne donnent pas directement accès au contenu des comptes, mais elles peuvent permettre à des attaquants d’envoyer des messages plus convaincants à la même adresse, de vérifier si celle-ci est active et de tenter d’exploiter les procédures de réinitialisation de mot de passe de différents services.

La présence d’une adresse e-mail dans une telle liste de botnet peut entraîner une hausse du volume de spams, la réception de messages contenant des pièces jointes malveillantes et davantage de liens vers de fausses pages de connexion, notamment pour les adresses personnelles ou professionnelles utilisées depuis des années. Le risque augmente si l’adresse figure dans d’autres fuites aux côtés de mots de passe, de noms d’utilisateur ou d’informations de profil. Dans le cas présent, aucune fuite de mot de passe n’ayant été confirmée, les priorités de sécurité doivent être la protection de la boîte de réception, l’authentification multifacteur, la prévention de la réutilisation des mots de passe et la vigilance face aux messages suspects.

Cette fiche repose sur une vaste liste de destinataires exposée sur le serveur de contrôle du botnet. Bien que les décomptes bruts puissent varier, le périmètre confirmé retenu après normalisation est de 43 432 346 comptes. L’incident doit être évalué dans le contexte du botnet et des spams diffusant des logiciels malveillants. La seule présence d’un nom d’utilisateur dans cette liste n’indique donc pas que le logiciel malveillant Trik a infecté son appareil ni que son compte sur un site précis a été compromis. L’interprétation fiable est que l’adresse figure dans un ensemble d’adresses e-mail susceptibles d’être ciblées pour la diffusion de messages malveillants.

Le champ du nom de domaine a été laissé vide, car l’incident ne semble pas provenir d’une fuite de la base de données clients d’un seul site commercial. Le champ du pays de l’entreprise a également été laissé vide, car l’incident n’est pas rattaché à un siège social vérifié. La catégorie de données se limite expressément aux adresses e-mail. Cette limite est essentielle pour présenter le risque réel sans susciter d’inquiétude inutile : l’incident ne se résume pas à une fuite de domaine de faible valeur, mais il ne faut pas non plus lui attribuer des divulgations non vérifiées de mots de passe, d’informations financières ou de documents d’identité.

Les personnes les plus exposées sont celles qui utilisent la même adresse e-mail depuis longtemps, la communiquent comme adresse professionnelle, gèrent une boîte de réception de service client ou s’inscrivent à de nombreux services en ligne avec la même adresse. Elles peuvent recevoir davantage de spams et de messages d’hameçonnage ciblés. Pour les utilisateurs en entreprise, le risque augmente lorsque les attaquants envoient des pièces jointes malveillantes en utilisant des noms de services internes, des boîtes e-mail génériques ou des adresses d’employés. La présence d’une adresse dans la liste ne signifie pas que des attaquants ont accès au réseau de l’entreprise. Elle constitue néanmoins un signal pertinent pour inciter l’équipe de sécurité à renforcer les filtres des messages entrants et la sensibilisation des utilisateurs.

Pour les particuliers, les conséquences les plus probables sont des messages prenant la forme de fausses notifications de livraison, d’alertes de compte, de communications usurpant l’identité d’une banque, de notifications de renouvellement d’abonnement ou d’invitations à partager des fichiers. Si l’adresse a déjà figuré dans d’autres fuites avec un mot de passe, les attaquants peuvent également tenter de deviner les mots de passe. L’incident du botnet de spam Trik ne doit donc pas être considéré uniquement comme un problème de nettoyage des spams : les paramètres de sécurité de base des comptes utilisant la même adresse doivent aussi être vérifiés.

La première étape consiste à vous assurer que le compte de messagerie concerné est protégé par un mot de passe fort et unique. Si vous utilisez le même mot de passe sur d’autres services, définissez un mot de passe distinct pour chaque compte et privilégiez un gestionnaire de mots de passe. Comme le compte de messagerie joue un rôle central dans la réception des liens de réinitialisation de mot de passe, activez l’authentification multifacteur. Si possible, utilisez des options résistantes à l’hameçonnage, telles qu’une application d’authentification ou une clé de sécurité.

Redoublez de prudence face aux messages de votre boîte de réception qui contiennent des pièces jointes, demandent des liens de connexion ou vous pressent d’effectuer un paiement. N’ouvrez pas les fichiers provenant d’expéditeurs inconnus, ne cliquez pas directement sur les liens et vérifiez les alertes de compte en saisissant vous-même l’adresse du service concerné dans le navigateur. Les équipes en entreprise doivent revoir les règles de la passerelle de messagerie, le blocage des pièces jointes malveillantes, les contrôles contre l’usurpation de domaines et les procédures d’alerte des employés pour les adresses associées à cet incident. Les documents contenant des macros, les fichiers compressés et les liens raccourcis doivent notamment faire l’objet d’un examen plus attentif.

L’objectif à long terme est d’accepter qu’une adresse e-mail puisse inévitablement devenir visible et de faire en sorte que la sécurité des comptes ne dépende pas de la confidentialité de cette adresse. Pour chaque compte critique, un mot de passe unique, l’authentification multifacteur, la vérification de l’adresse e-mail de récupération et une protection à jour des appareils doivent être considérés comme des mesures de base. Pour les comptes professionnels, les contrôles DMARC, SPF et DKIM, les règles d’analyse supplémentaires, les mentions d’avertissement et les vérifications de la sécurité des connexions doivent faire l’objet d’un suivi régulier.

Un changement de mot de passe ponctuel ne fait pas disparaître complètement une adresse des listes de spam utilisées sur le long terme. Restez vigilant dans la durée face aux pièces jointes inattendues dans votre boîte de réception, aux demandes de paiement urgentes, aux fausses alertes de sécurité et aux tentatives d’imitation de marques. Les organisations, de leur côté, ne doivent pas considérer ces listes uniquement comme un indicateur d’erreur de l’utilisateur, mais aussi comme un signal externe utilisé par les attaquants pour sélectionner leurs cibles. La mise en œuvre conjointe de la formation, du filtrage technique et des procédures de signalement des incidents permet de mieux maîtriser le risque.

Si vous voyez le résultat correspondant sur LeakData, commencez par déterminer quels comptes utilisent l’adresse e-mail concernée et donnez la priorité aux services les plus critiques. Vérifiez d’abord le compte de messagerie, les services bancaires, les réseaux sociaux, le stockage dans le cloud, les systèmes professionnels et les services de gestion de domaines. Pour chaque service, examinez l’utilisation de mots de passe uniques, les sessions actives, les options de récupération et l’état de l’authentification multifacteur.

Cet incident ne vous indique pas que votre mot de passe a nécessairement été divulgué. Il constitue toutefois un indice fort que votre adresse a pu être utilisée pour l’envoi de messages malveillants. La démarche la plus appropriée consiste à rester calme, à renforcer la sécurité de votre boîte de réception, à remplacer les mots de passe réutilisés, à éviter les liens suspects et à vérifier avec quels types de données la même adresse a figuré dans d’autres fuites. Vous pourrez ainsi prendre une décision de sécurité plus éclairée, fondée non seulement sur cette liste de botnet, mais aussi sur l’historique global des risques associés à votre adresse.