En bref
Que s'est-il passé ?
Retool, plateforme de développement, subit une attaque par spear phishing et deepfake vocal : le compte Google d'un employé, servant à la synchronisation cloud des MFA, est compromis.
La synchronisation cloud des codes MFA permet à l'attaquant, une fois le compte Google pris, de contrôler des comptes clients Retool, puis de compromettre un portail développeur bâti sur Retool.
L'attaquant parvient à contrôler des fonds de clients finaux via le portail compromis. L'incident illustre le chaînage : ingénierie sociale puis compte puis outillage de dev puis clients.
MFA matérielle non synchronisée dans le cloud (clés FIDO2), désactiver la synchronisation cloud des codes, vérification d'identité renforcée contre le deepfake vocal, et moindre privilège.
Comment l'attaquant a procédé
Cet incident met en jeu les vecteurs d'attaque suivants du catalogue SOCLE ; chacun renvoie à sa fiche, où l'on trouve les exigences qui le neutralisent :
La leçon à en tirer
Proscrire la MFA par SMS ; préférer une MFA résistante au phishing (clés matérielles).
Les exigences SOCLE qui auraient limité cet incident
Cet incident se rattache à 19 exigences du référentiel, par domaine. Les satisfaire n'aurait pas forcément tout empêché, mais aurait réduit la probabilité de l'attaque, limité son impact ou accéléré sa détection :