Rapport 2024 sur le cloud et les menaces

Les utilisateurs d’entreprise sont constamment ciblés par des chevaux de Troie sous différents angles. Les adversaires créent continuellement de nouveaux chevaux de Troie avec une variété d’appâts différents pour inciter les utilisateurs à les télécharger et à les exécuter. En 2023, en moyenne, 8 utilisateurs sur 10k ont téléchargé en moyenne 11 chevaux de Troie par mois. Tout au long de l’année, une entreprise comptant 10 000 utilisateurs aurait eu en moyenne 132 chevaux de Troie téléchargés par les utilisateurs sur son réseau. Netskope Threat Labs s’attend à ce que ces deux chiffres restent relativement constants tout au long de l’année 2024.

L’un des angles que les adversaires utilisent de plus en plus pour inciter les utilisateurs à télécharger des chevaux de Troie est d’héberger les chevaux de Troie sur des applications SaaS populaires. Au cours de l’année écoulée, le pourcentage de téléchargements de logiciels malveillants HTTP et HTTPS provenant d’applications SaaS a constamment été supérieur à 50 %, une tendance que Netskope Threat Labs s’attend à ce qu’elle se poursuive jusqu’en 2024 alors qu’elle se rapproche de 60 %.

Sans surprise, les applications spécifiques où les adversaires réussissent le mieux à inciter leurs victimes à télécharger des chevaux de Troie font également partie des applications les plus populaires de l’entreprise. La figure suivante présente les 20 principales applications, y compris une comparaison d’une année sur l’autre. Nous soulignons ci-dessous quatre thèmes majeurs de ce graphique.

Microsoft OneDrive maintient son avance
Comme nous l’avons vu précédemment dans ce rapport, Microsoft OneDrive est omniprésent dans l’entreprise. C’est de loin l’application SaaS la plus populaire, avec près des deux tiers de tous les utilisateurs d’entreprise accédant au contenu de OneDrive chaque mois. Pour cette raison, il n’est pas surprenant qu’il soit également en tête en termes de téléchargements de logiciels malveillants. Les adversaires peuvent facilement créer leurs propres comptes OneDrive pour héberger des logiciels malveillants, qu’ils partagent avec leurs victimes. De plus, comme les deux tiers des utilisateurs utilisent régulièrement OneDrive, ils sont habitués à cliquer sur les liens OneDrive et sont donc plus susceptibles de le faire lorsqu’un adversaire en partage un.

Microsoft Sharepoint est nuancé
Microsoft exploite SharePoint dans une variété d’autres services, y compris Microsoft Teams. L’augmentation d’une année sur l’autre des téléchargements de logiciels malveillants provenant de SharePoint est principalement due à une augmentation du nombre de chevaux de Troie partagés avec les victimes via Microsoft Teams, qui apparaissent sous forme de téléchargements Microsoft SharePoint sur la plate-forme Netskope.

Les applications fournissant un hébergement gratuit sont les leaders
La majorité des applications du top 20 sont des applications qui fournissent des services d’hébergement de fichiers gratuits. Cela inclut les applications de stockage en nuage (Microsoft OneDrive, Google Drive, Azure Blob Storage, Amazon S3, Box, Dropbox, Google Cloud Storage), les applications d’hébergement Web gratuites (Weebly, Squarespace), les services de partage de fichiers gratuits (DocPlayer, MediaFire, WeTransfer) et les applications d’hébergement de code source gratuites (GitHub, SourceForge). Étant donné que ces applications fournissent toutes un hébergement de fichiers à faible coût ou gratuit, Netskope Threat Labs s’attend à ce qu’elles et des applications similaires continuent d’être utilisées à des fins de logiciels malveillants et de phishing dans un avenir prévisible.

Les adversaires réussissent généralement mieux à inciter les victimes à cliquer sur des liens de phishing qu’à les inciter à télécharger des logiciels malveillants. En moyenne, 29 entreprises sur 10 000 ont cliqué sur un lien de phishing chaque mois en 2023, soit plus de trois fois le taux d’utilisateurs téléchargeant des chevaux de Troie. Tout au long de l’année, une organisation de 10 000 utilisateurs aurait eu en moyenne 348 utilisateurs cliquant sur des liens de phishing.

Les attaquants hameçonnent pour obtenir des informations d’identification et d’autres informations sensibles pour une variété de cibles différentes. Les 10 principales cibles de phishing en 2023 comprenaient des applications cloud et SaaS populaires, des sites d’achat et des portails bancaires. Les applications SaaS et les sites d’achat ont figuré parmi les principales cibles tout au long de l’année, tandis que les portails bancaires, les médias sociaux et les objectifs gouvernementaux ont connu une augmentation constante tout au long de l’année. Alors que certains adversaires hameçonnent pour obtenir des informations d’identification et des données qu’ils utiliseront eux-mêmes, d’autres servent de courtiers d’accès initial, vendant les informations d’identification, les informations bancaires et d’autres données volées sur le marché noir. Netskope Threat Labs prévoit que les applications cloud et SaaS, bien qu’elles continueront à figurer parmi les principales cibles de phishing, seront remplacées par les portails bancaires en tant que cible principale au début de 2024.

Parmi les principales catégories de cibles de phishing, il y en a quelques-unes qui se démarquent :

Secteur public
La cible gouvernementale la plus courante était l’Internal Revenue Service des États-Unis, où les attaquants créaient des pages de phishing pour voler les données financières de leurs victimes.

Médias sociaux
Facebook, l’application de médias sociaux la plus populaire dans l’entreprise, reste de loin la plateforme de médias sociaux la plus ciblée. Les adversaires utilisent des comptes de médias sociaux compromis pour lancer des escroqueries, diffuser des logiciels malveillants, diffuser de la désinformation et d’autres activités illicites.

Achats
Les géants du shopping Amazon et Ebay restent les principales cibles d’achat.

Jeu
La plate-forme de jeu Steam a été de loin la plate-forme de jeu la plus ciblée. Les adversaires utilisent généralement les informations de paiement attachées au compte pour effectuer des achats et tentent également d’utiliser le compte pour compromettre des comptes supplémentaires.

Consumer
Le service de streaming vidéo Netflix a maintenu son avance en tant que service le plus phié dans la catégorie des consommateurs en 2023. Ici, l’objectif principal est le vol : les comptes volés sont vendus sur un marché noir à des personnes à la recherche d’un abonnement Netflix bon marché.

Parmi les applications cloud et SaaS ciblées par les adversaires dans les campagnes de phishing en 2023, un écosystème d’applications se démarque de tous les autres : Microsoft. La popularité de Microsoft parmi les utilisateurs d’entreprise signifie que les informations d’identification Microsoft sont à la fois une cible lucrative pour les attaquants et que les utilisateurs seront plus habitués à cliquer sur des liens pour les services Microsoft. À mesure que de plus en plus d’utilisateurs continuent d’utiliser les services Microsoft, Microsoft continuera d’être une cible principale pour les adversaires qui peuvent exploiter l’accès au compte Microsoft de leur victime pour compromettre la messagerie professionnelle, voler des données sensibles et se tourner vers d’autres applications connectées. Pour ces raisons, Netskope Threat Labs s’attend à ce que Microsoft reste la principale cible de phishing dans le cloud en 2024, augmentant ainsi son avance sur les autres applications.

Une stratégie de phishing moins courante mais croissante consiste à utiliser des pièces jointes de phishing au lieu de liens de phishing dans les e-mails. Les pièces jointes d’hameçonnage sont destinées à contourner les contrôles anti-hameçonnage qui n’inspectent que les liens intégrés directement dans l’e-mail lui-même. Le type de pièce jointe par hameçonnage le plus courant est un document PDF qui semble être une facture, invitant les victimes à appeler un numéro de téléphone ou à consulter un lien si elles ont besoin de corriger quoi que ce soit sur la facture. Les pièces jointes d’hameçonnage étaient assez rares au début de 2022, ont atteint un pic en milieu d’année, ont diminué et ont de nouveau augmenté à la fin de 2023. Malgré cette augmentation, le téléchargement d’une pièce jointe de phishing par un utilisateur d’entreprise est moins fréquent que le fait de cliquer sur un lien de phishing ou de télécharger un cheval de Troie. Netskope Threat Labs s’attend à ce que les pièces jointes de phishing deviennent encore plus courantes en 2024.