Une attaque de phishing s'attaque aux craintes de violation de données par jpmorgan

Les spammeurs utilisent la violation de données JPMorganChase du mois dernier dans une nouvelle attaque de phishing visant à amener les victimes à transmettre des informations confidentielles.

Une violation de données est rarement la fin d'une cyber-campagne. Le gang derrière l'infraction peut utiliser les informations comme reconnaissance pour lancer une attaque plus ciblée ou gagner de l'argent en vendant les données volées. D'autres criminels profitent de la confusion avec une "attaque de ferroutage" qui joue sur les craintes des victimes de la violation initiale. Dans tous les cas, les utilisateurs doivent rester attentifs à tout signe d'activité frauduleuse ou suspecte.

Le mois dernier, JPMorganChase a déclaré que des données personnelles appartenant à environ 465 000 détenteurs de cartes UCARD, soit un peu moins de 2% du total des utilisateurs, ont été exposées lors d'une violation de données. UCARD, une carte de débit prépayée fréquemment utilisée par les entreprises et les organismes gouvernementaux pour effectuer des remboursements d’impôt, des indemnités de chômage et d’autres avantages, compte environ 25 millions d’utilisateurs dans le pays. Le géant financier a déclaré à l'époque qu'il n'émettrait pas de cartes de remplacement car il n'y avait aucune preuve d'activité frauduleuse liée aux cartes et aux comptes.

Attaque de phishing sur le dos

Les utilisateurs qui ont reçu une lettre de notification de Chase savaient pertinemment qu'ils étaient touchés et qu'ils pouvaient agir. Les 98% restants sont restés "dans une sorte de limbo de la sécurité des données", a déclaré Paul Ducklin, un chercheur de Sophos. Ces utilisateurs devaient attendre pour voir si les enquêtes de JPMorganChase avaient révélé des détails supplémentaires ou davantage de victimes.

Les cybercriminels ciblent ces utilisateurs dans le cadre d'une campagne de phishing.

Ce courrier électronique de phishing cible "l'utilisateur Chase Paymentech" et informe le destinataire "d'un problème causé par la récente violation de base de données", a écrit Ducklin dans Naked Security. L'utilisateur est invité à cliquer sur un lien et à compléter un profil afin de vérifier son identité. Le phishing lui-même n'est pas "extrêmement sophistiqué", car les utilisateurs sont dirigés vers une page de marchand, pas une page UCARD usurpée, a déclaré Ducklin.

Comme le courrier électronique de l'attaque utilise les propres images et feuilles de style de Chase, ils passent "au rassemblement visuel occasionnel", a déclaré Ducklin. Et comme les utilisateurs sont déjà préoccupés par la violation et cherchent des informations, ils sont prêts à craquer pour ces escroqueries.

Les criminels tentent souvent de tirer profit d'une atteinte à la sécurité en exploitant les craintes des victimes potentielles afin de les inciter à partager des informations confidentielles ou à prendre des mesures spécifiques. Vous devez toujours vous méfier de toute communication vous demandant de cliquer sur un lien ou de fournir des informations confidentielles. Comme Ducklin l'a fait remarquer, contrairement à une institution financière qui a récemment eu un incident de sécurité, elle envoie un courrier électronique vous invitant à cliquer sur un lien menant à une page de connexion.

"Chaque fois que vous recevez un lien de courrier électronique qui mène à une page de connexion, comme celle-ci, vous pouvez immédiatement être certain qu'il est faux", a averti Ducklin.

Juste ne cliquez pas

N'oubliez pas que Chase, ou toute entreprise légitime, ne demanderait jamais d'informations personnelles par courrier électronique. Bien que certaines entreprises utilisent le courrier électronique pour notifier les utilisateurs d'une violation (telle qu'Adobe), en cas d'infraction où les dossiers financiers ou médicaux sont compromis, vous recevrez probablement une notification et toutes les communications de suivi par courrier postal.

"Ces types d'attaques peuvent sembler incroyablement crédibles et il est difficile pour les gens de les identifier comme des faux", a déclaré Lee Weiner, vice-président principal des produits et de l'ingénierie chez Rapid7. Ainsi, au lieu d'essayer de déterminer ce qui est réel et ce qui ne l'est pas, il suffit aux gens de prendre l'habitude de ne pas cliquer sur les liens.

Au lieu de cela, ils devraient "aller directement sur le site que vous voulez en utilisant votre navigateur Web, puis utiliser la navigation du site pour trouver votre page", a déclaré Weiner. Vous pouvez également prendre le téléphone et téléphoner ou marcher pour parler à un employé en face-à-face.