Oct 1, 2019
Quelle est la problématique?
Les cybercriminels exploitent les faiblesses de conception des applications de calendrier d'Apple, de Google et de Microsoft qui leur permettent de mettre des liens et des fichiers malveillants au calendrier d'une victime à son insu ou sans son autorisation. Si vous cliquez sur ces liens et ces pièces jointes, cela peut entraîner la violation de vos données, ou déclencher un rançongiciel ou toute autre escroquerie en ligne.
L'attaque prend la forme d'une invitation à un événement au calendrier envoyée à l'adresse courriel de la victime. Dès la réception de cette invitation, l'événement est automatiquement ajouté au calendrier de la victime au moyen d'une fonction par défaut dans les applications de calendrier. La victime peut supprimer l'invitation par courriel, mais l'événement demeure inscrit à son calendrier. Même si les invitations sont automatiquement inscrites au calendrier à titre provisoire et apparaissent grisées dans certains cas, tous les liens demeurent actifs, et il est possible de cliquer sur les pièces jointes. Ces événements peuvent avoir lieu plusieurs jours, semaines ou mois après la réception du courriel. Lors du jour de l'événement, si la victime voit un événement inscrit à son calendrier, elle risque de cliquer sur le lien et les fichiers correspondants pour obtenir les détails. La victime oubliera fort probablement qu'elle a supprimé le courriel original dans sa boîte de réception.
Les criminels espèrent que la plupart des utilisateurs cliqueront sur ces liens ou fichiers malveillants, car les gens ont plutôt tendance à ne pas se méfier des éléments inscrits à leur calendrier. Les rappels d'événements provisoires sont actifs et s'afficheront, alors les utilisateurs devraient être encore moins sur leurs gardes.
Le fait de refuser une invitation peut poser problème pour deux raisons. D'abord, la plupart des applications de calendrier pour boîte de courriel envoient un avis à l'expéditeur si l'invitation est refusée. Les criminels ont ainsi la confirmation qu'il s'agit d'une adresse courriel valide. Ensuite, l'invitation elle-même peut avoir été falsifiée ou modifiée, et si l'utilisateur clique sur l'une des boîtes ou l'un des liens, son ordinateur peut être infecté par un virus et ses données peuvent être compromises.
Les fausses invitations qui ont été répertoriées semblent provenir de marques de confiance comme Apple et Samsung et se rapporter à un achat ou à la réparation d'un produit. Les attaques les mieux conçues et ciblées ressemblent à des invitations à une réunion de travail et peuvent sembler provenir d'une adresse courriel connue ou compromise.
Que dois-je faire?
à l'heure actuelle, il n'existe aucune solution qui pourrait empêcher l'ajout automatique d'événements provisoires à votre calendrier. Toutefois, quelques réglages peuvent vous aider à vous protéger contre les attaques. Outlook dans Microsoft comporte une option que vous devriez décocher pour que les invitations ne s'affichent pas automatiquement dans votre calendrier, à moins que vous ne cliquiez sur l'invitation dans le courriel. Une fois dans Outlook, cliquez sur Fichier, Options, Courrier et Suivi, puis décochez la case « Traiter automatiquement les demandes de réunion et les réponses aux demandes de réunion et sondages ». Si cette option est désactivée et que vous recevez une invitation inattendue qui vous semble suspecte, glissez l'invitation vers le dossier éléments supprimés sans l'ouvrir, ou cliquez sur la corbeille immédiatement, afin de l'empêcher d'atteindre votre calendrier. Pendant plus d'une décennie, la communauté technique a demandé à Microsoft de régler le problème, mais l'entreprise a déclaré par le passé sur des forums que le fait de permettre à l'utilisateur de désactiver l'ajout d'invitations au calendrier, même si elles proviennent d'une source inconnue, serait en fait un « inconvénient fonctionnel ». Google propose l'option d'afficher seulement les invitations auxquelles vous avez répondu, ce qui devrait également contribuer à réduire les risques d'attaque. Cependant, les chercheurs indiquent qu'il est relativement facile de déjouer l'interface de programmation d'applications (API) de Google. Au cours des dernières semaines, Google a convenu qu'il s'agissait d'un problème et qu'elle trouverait une solution. Apple n'a toujours pas réglé le problème.
Si vous recevez une invitation suspecte ou indésirable, assurez-vous de supprimer le courriel dans votre boîte de réception ainsi que l'événement inscrit à votre calendrier. Aussi, n'oubliez pas de choisir de ne pas aviser l'expéditeur ou l'organisateur de l'événement lorsqu'on vous le demande.
- Voici d'autres mesures que vous pouvez prendre dès maintenant pour réduire les risques d'attaque :
- Comme pour les pourriels, il existe des façons de repérer les invitations et courriels suspects ou malveillants. Assurez-vous que vous et votre personnel êtes formés pour repérer les signes des communications suspectes, comme les expéditeurs inconnus et les invitations inattendues.
- Utilisez un antivirus performant d'une marque réputée.
- Utilisez des pare-feu de points d'extrémité personnels et pour entreprise configurés et gérés par des professionnels.
- Songez à utiliser un antivirus qui analyse les courriels afin de repérer les pièces jointes et les liens malveillants.
- Assurez-vous que le système d'entrée-sortie de base (BIOS), le système d'exploitation, les logiciels Office, le navigateur Web et les autres applications de vos appareils sont à jour et que les correctifs nécessaires ont été apportés.
Remarque à l'intention des clients de NPC :
Votre système NPC doit être muni d'un antivirus, avoir reçu tous les correctifs nécessaires et être doté d'un pare-feu correctement configuré et activé afin d'être protégé contre les liens et les fichiers malveillants. Néanmoins, vous devriez toujours éviter de cliquer sur des liens et des fichiers de sources inconnues pour éviter toute attaque. NPC continuera de surveiller les cyberattaques et vous informera de tout nouvel élément. Nous mettrons à jour cette alerte lorsqu'une solution technique sera disponible, le cas échéant.
Sources:
Forbes - Google To Fix Malicious Invites Issue for 1 Billion Calendar Users
Krebs on Security - Spam In Your Calendar? Here's What to Do
Fichiers de NPC.