Sender Spoofing

L'usurpation d'identité de l'expéditeur consiste à donner à l'adresse d'envoi d'un e-mail l'apparence d'un e-mail légitime afin de faire croire aux destinataires qu'elle provient d'un véritable expéditeur. Cela est généralement utilisé pour les collecteurs d'informations d'identification lorsque l'attaquant souhaite faire croire au destinataire que l'e-mail provient réellement de l'entreprise usurpée afin qu'il soit plus susceptible de saisir des informations d'identification valides.

Comment fonctionne l'usurpation d'identité ?

Dans le cadre d'une attaque par usurpation d'identité, l'acteur malveillant envoie un e-mail avec une adresse « De : » qui semble provenir d'une source fiable, telle qu'une marque connue, un collègue de travail ou un membre de la famille. Aucune vérification n'est effectuée à ce stade. Les e-mails SMTP peuvent donc utiliser n'importe quelle adresse FROM de leur choix. Vous souhaitez envoyer un e-mail qui semble provenir de contact@securityblue.team ? Tu peux ! (Mais ne le faites pas.)

Exemple de procédure pas à pas

Exemple 1 (adresse FROM)

Enfilons notre chapeau noir et voyons un exemple dans lequel nous voulons hameçonner l'utilisateur James.Smith@DicksonUnited.co.uk. James a suivi sa formation de sensibilisation à la sécurité et est assez doué pour détecter les e-mails suspects. Tout e-mail provenant d'un domaine externe va probablement l'alerter. Nous allons donc nous faire passer pour le service informatique de DicksonUnited. Nous rédigeons un e-mail avec l'adresse FROM sur notre serveur SMTP définie comme « ServiceDesk@DicksonUnited.co.uk » et nous l'envoyons à James, en incluant un lien hypertexte vers un outil de collecte d'informations d'identification Office365. James tombe dans le piège car, de son côté, l'e-mail semble 100 % légitime et il ne remet pas en question l'appel pour saisir les informations de son e-mail, car il pense que cela provient du centre de services informatiques, qui gère les comptes de messagerie.

Détection de cette attaque : Bien que l'adresse FROM semble totalement légitime, nous pouvons examiner l'adresse IP du serveur d'envoi (X-Originating-IP) et effectuer une recherche Whois ou IP pour déterminer si ce serveur appartient réellement à l'organisation dont le courrier électronique prétend provenir. Nous aborderons les technologies de sécurité du courrier électronique qui peuvent empêcher ces e-mails, telles que le SPF, le DKIM et le DMARC, qui sont détaillées dans la section 6) Prendre des mesures défensives.

Exemple 2 (adresse FROM avec Reply-to)

Si nous envoyons un e-mail sous la forme contact@amazon.com et que nous voulons que l'utilisateur nous réponde, la réponse sera en fait envoyée à contact@amazon.com, ce que nous ne voulons pas, car nous ne la verrons jamais. C'est là qu'intervient l'adresse de réponse. Lors de la création de notre e-mail, nous pouvons définir une valeur pour l'adresse de réponse en tant qu'adresse e-mail à laquelle nous avons réellement accès, telle que hacktheplanet@gmail.com, et définir l'adresse de l'expéditeur sur contact@amazon.com. Maintenant, si le destinataire répond, il sera envoyé à l'adresse Gmail et nous pourrons le lire.

Détection de cette attaque : nous pouvons examiner l'adresse de réponse et voir où les réponses seraient envoyées. Nous pouvons ensuite bloquer cette adresse sur la passerelle de messagerie pour empêcher les e-mails de sortir vers cette adresse. Nous aborderons les technologies de sécurité du courrier électronique qui peuvent empêcher ces e-mails, telles que le SPF, le DKIM et le DMARC, qui sont détaillées dans la section 6) Prendre des mesures défensives.