L'escroquerie d'extorsion de données d'Ashley Madison cible des centaines de victimes

Différentes violations de données ont des conséquences différentes. Si un forum de discussion Internet est piraté, par exemple, les dommages sont généralement limités aux noms d'utilisateur, aux adresses e-mail et, dans certains cas, aux mots de passe. Si un site Web de commerce électronique ou un fournisseur de services de paiement est compromis, les choses pourraient devenir un peu plus laides car elles stockent des informations de paiement. Cependant, comme bon nombre de personnes peuvent en témoigner, une attaque réussie contre des sites Web comme Ashley Madison peut être encore plus dommageable.

Ashley Madison est un service de rencontres en ligne pour les personnes qui souhaitent avoir une liaison, et comme vous le savez probablement, il a été piraté en 2015. Près de 10 Go de données sensibles ont été divulguées et les effets sur les utilisateurs d'Ashley Madison ont été profonds. Les réputations et les familles ont été sérieusement menacées et, pour certains, la possibilité de honte publique et d'embarras a conduit au suicide.

Beaucoup sont sortis indemnes, cependant, et ont continué leur vie. Ils espéraient probablement que tout cela était maintenant derrière eux, mais ils ont récemment trouvé un lot de spams dans leurs boîtes de réception, ce qui a prouvé que ce n'était pas le cas.

Cinq ans plus tard, les cybercriminels tentent toujours de tirer parti du hack d'Ashley Madison

La semaine dernière, des chercheurs de Vade Secure ont rendu compte d'une nouvelle campagne de spam ciblant les victimes de la violation de données d'Ashley Madison. C'est loin de l'affaire habituelle. Contrairement aux campagnes de pulvérisation et de prière courantes qui frappent des milliers, voire des millions de personnes, l'attaque est cette fois personnalisée pour chaque cible et peut être extrêmement destructrice.

Les spammeurs ont mis le nom d'utilisateur Ashley Madison de la victime dans le sujet de l'e-mail afin d'attirer leur attention. Le corps du message commence par le même nom d'utilisateur et les mots «Je sais tout de vous». Plus bas, les spammeurs tentent de prouver que cette affirmation est vraie.

Ils ajoutent des détails volés à Ashley Madison, notamment le numéro de téléphone de la victime, la date de naissance revendiquée, l'adresse physique, la date de création du compte et l'adresse IP à partir de laquelle le compte a été créé.

Lorsque Ashley Madison a été piratée, les données divulguées comprenaient, entre autres, les détails de la transaction et les numéros de compte bancaire, et bien sûr, les e-mails contiennent également des informations sur les achats en ligne, que la victime préfère probablement garder confidentielles. Il est difficile de dire si cette information particulière provient d'Ashley Madison. Pour tout ce que nous savons, en fait, ce n'est peut-être même pas réel. Vade a publié une capture d'écran, dans laquelle les spammeurs montrent qu'ils ont des détails sur une commande en ligne de "produits d'assistance pour hommes" fin 2018 - plus de trois ans après la violation d'Ashley Madison. Le reste des informations contenues dans l'e-mail, cependant, est apparemment tout à fait légitime, et vous ne serez probablement pas trop surpris de découvrir que les pirates menacent de le montrer aux amis et à la famille de la victime.

Bien sûr, certaines pièces cryptographiques peuvent empêcher cela. Pour s'assurer que le message passe les filtres anti-spam modernes, les escrocs ont choisi de ne pas inclure de demandes de paiement dans le corps de l'e-mail. Au lieu de cela, ils joignent un fichier PDF protégé par mot de passe qui contient toutes les instructions, y compris un code QR pour plus de commodité. Il s'agit d'une nouvelle technique. Les chercheurs ont cependant noté qu'il est efficace, ce qui signifie que nous le verrons probablement à l'avenir également.

Une arnaque de sextorsion avec une touche

La campagne actuelle rappelle un type spécifique d'escroquerie de sextorsion qui est devenu extrêmement populaire auprès des cybercriminels à l'été 2018. À l'époque, les spammeurs tentaient de faire chanter les victimes en les menaçant de divulguer des images embarrassantes, qui avaient été enregistrées par le biais de la victime prétendument caméra Web piratée. Cependant, peu de gens tomberaient pour ces allégations, c'est pourquoi les spammeurs ont également inclus l'un des mots de passe de l'utilisateur dans les e-mails. Ils obtenaient les mots de passe de bases de données en ligne qui avaient été divulguées lors de violations de données non liées, et pour la plupart, les informations d'identification étaient anciennes et n'étaient plus valides. Néanmoins, les escrocs croyaient qu'ils inciteraient les victimes à penser que leurs ordinateurs portables avaient vraiment été piratés et procéderaient ainsi au paiement.

Fondamentalement, le principe est le même ici. Les pirates prétendent qu'ils sont sur le point de divulguer des informations préjudiciables sur leurs victimes, et seule une rançon peut empêcher cela de se produire. La différence est, cependant, que les vidéos des anciennes escroqueries de sextorsion ne sont pas réelles, alors que les détails divulgués d'Ashley Madison le sont.