Aller au contenu
Sécurité medium

Retool - contournement MFA par SMS

3 min de lecture
Point de compromission dans la chaîne Rupture · étape Secrets
Source
amont
Dépendances
deps
Build & CI
ci
Packaging
artefact
Release
Secrets
Registres
distribution
Déploiement
admission
Runtime
exécution
Rayon d'explosion — compromission à l'étape Secrets, propagation possible aux consommateurs. Domaines : Poste de travail, Cloud
Gravité faible
Phishing par SMS et ingénierie sociale conduisant à contourner une MFA basée SMS et à accéder à des comptes clients.
deepfake
voix usurpée
MFA cloud
sync. exploitée
Google
compte pivot
fonds
clients ciblés

En bref

Date
13/09/2023
Gravité
Faible
Étape de la chaîne
Secrets
Domaines SOCLE
Poste de travail+ Cloud

Que s'est-il passé ?

Contexte

Retool, plateforme de développement, subit une attaque par spear phishing et deepfake vocal : le compte Google d'un employé, servant à la synchronisation cloud des MFA, est compromis.

Mécanisme

La synchronisation cloud des codes MFA permet à l'attaquant, une fois le compte Google pris, de contrôler des comptes clients Retool, puis de compromettre un portail développeur bâti sur Retool.

Impact

L'attaquant parvient à contrôler des fonds de clients finaux via le portail compromis. L'incident illustre le chaînage : ingénierie sociale puis compte puis outillage de dev puis clients.

Parades

MFA matérielle non synchronisée dans le cloud (clés FIDO2), désactiver la synchronisation cloud des codes, vérification d'identité renforcée contre le deepfake vocal, et moindre privilège.

Comment l'attaquant a procédé

Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :

La leçon à en tirer

Ce qu'il faut retenir

Proscrire la MFA par SMS ; préférer une MFA résistante au phishing (clés matérielles).

Les exigences SOCLE qui auraient limité cet incident

Cet incident se rattache à 19 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :

Pour aller plus loin

Ce site vous est utile ?

Sachez que moins de 1% des lecteurs soutiennent ce site.

Je maintiens +700 guides gratuits, sans pub ni tracing. Aujourd'hui, ce site ne couvre même pas mes frais d'hébergement, d'électricité, de matériel, de logiciels, mais surtout de cafés.

Un soutien régulier, même symbolique, m'aide à garder ces ressources gratuites et à continuer de produire des guides de qualité. Merci pour votre appui.

Abonnez-vous et suivez mon actualité DevSecOps sur LinkedIn