Utilisateurs de CryptNDrive et fishing

Fév 2, 2021 | Sécurité informatique

Lybero.net commence à voir des tentatives de fishing à destination des utilisateurs de CryptnDrive. Nous en sommes si ce n’est heureux, du moins fier : cela signifie que notre service a du succès.

Typiquement, vous pouvez recevoir un message de ce type :

Dear arnaud.laprevote,
You have pending incoming emails that you are yet to receive.
Access to ([your.name@your.company]your.name@your.company) will be restricted until you confirm ownership.
Confirm account now
Note: Access to [arnaud.laprevote@lybero.net]arnaud.laprevote@lybero.net will be restricted within 48 (forty eight) working hours.
Regards
lybero.net support Team

Avec un lien sur « Confirm account now ». Ce message est professionnel, bien fait et trompeur. Lybero.net pourrait envoyer un message de ce type là.

La version courte

Vous avez un moyen simple de savoir que ce message est du fishing : mettez votre souris sur le lien sans cliquer, et regarder le lien, le lien ne peut-être que vers un site « Lybero.net » (typiquement drive.lybero.net, www.lybero.net, votredrive.lybero.net), ce ne sera jamais un site du genre : https://microsoft1245.s3.us-east.cloud-object-storage.appdomain.cloud/ ou https://lyb-app.google.cloud ou ….

Un peu de détail

Tous les lecteurs de mails qu’ils soient en ligne ou en application de bureau permettent de visualiser des messages rédigés en html. Tous les lecteurs permettent de savoir l’adresse vers laquelle un lien vous dirige. Prenons 2 exemples : Thunderbird et Outlook web.

Thunderbird


Quand vous mettez votre curseur sur un lien, dans la barre d’état de thunderbird en bas à gauche vous voyez l’url de la cible du lien.

Outlook web


Là encore, le simple fait de placer le curseur sur le lien conduit à l’affichage de la cible du lien en bas à gauche de la fenêtre.

A quoi être attentif

Ce qui est important est le début du lien, ce que l’on appelle le FQDN « fully qualified domain name », donc le nom de domaine, ici r.news.metztoday.fr ou microsoft1245.s3.us-east.cloud-object-storage.appdomain.cloud .

Tout mail provenant de Lybero.net aura un lien pointant vers quelque.chose.lybero.net .

Malheureusement, je me suis fait avoir, que dois-je faire maintenant ?

« Errare humanum est, sed persevare diabolicum est ». L’erreur est humaine, mais persévérer dans l’erreur est diabolique.

  • Informez-nous immédiatement. Envoyez un mail à support@lybero.net. Nous pouvons bloquer un compte et le rétablir ensuite quand les choses se sont éclaircies.
  • Si vous avez pris l’habitude d’utiliser des mots de passe différents entre différents sites, alors vous pouvez passer à la suite. Sinon, malheureusement, il vous faut changer immédiatement tous les mots de passe sur les sites utilisant ce mot de passe ou des dérivés de ce mot de passe. En effet, les attaquants ont des bases de mot de passe et ne se privent pas d’essayer les mots de passe sur les sites les plus communs ainsi que les variations les plus communes.
  • Dans les cas les plus graves, un dépôt de plainte peut être fait ou une main courante. Aujourd’hui, vous pouvez faire une pré-plainte en ligne, vous aurez ensuite un rendez-vous pour confirmer votre plainte

Comme toujours vous trouverez d’excellents conseils et de précieuses explications sur les sites de référence que sont ceux de la CNIL (par exemple cette page sur le sujet) et de Cybermalveillance.gouv.fr (par exemple ici).