Depuis quelque temps, nous songions à lancer une mini-série autour de cas concrets rencontrés au quotidien dans notre centre des opérations de sécurité (SOC). Voici le premier article d’une série que nous espérons longue, où nous partageons notre expérience de première ligne, construite à partir de nos notes internes, de nos rapports d’équipe, de nos analyses de rétro-ingénierie et de notre approche opérationnelle de la réponse aux incidents.
Lors d’une rétrospective récente, nous avons évoqué un scénario classique : un attaquant envoie un e-mail de phishing contenant un lien vers une fausse page de connexion, conçue pour subtiliser les identifiants d’un utilisateur. À première vue, cela ressemblait à une tentative classique de spearphishing. Pourtant, lorsque nous avons tenté de catégoriser l’incident dans MITRE ATT&CK, un détail nous a interpellés.
La question : si l’intention de l’attaquant est de subtiliser des identifiants, l’incident relève-t-il toujours de l’hameçonnage (T1566) dans le cadre d’un accès initial (TA0001), ou doit-il être classé autrement ? Spoiler : il ne s’agit pas d’une tentative d’accès initial, et cette nuance est essentielle.
Pourquoi ce cas n’entrait pas dans le phishing classique
Le framework MITRE ATT&CK distingue les tactiques, les objectifs stratégiques des attaquants, des techniques, qui décrivent les méthodes concrètes employées pour les atteindre. Cette distinction est essentielle pour comprendre le but réel d’une attaque. Appliquée à notre scénario : l’e-mail de phishing montre comment l’attaque se déroule. Mais pourquoi a-t-elle lieu ?
Quel est l’objectif réel de l’attaquant ? Cherche-t-il vraiment un accès initial au réseau cible ? Probablement pas : l’e-mail ne contenait aucune pièce jointe malveillante, et le lien ne menait pas au téléchargement d’un malware. Il s’agissait plutôt d’un leurre destiné à collecter des identifiants pour un usage ultérieur. La tactique « accès initial » (Initial Access, TA0001) ne décrit donc pas correctement l’intention de l’attaquant.
Trouver la bonne tactique MITRE ATT&CK
Tromper un utilisateur pour qu’il révèle ses identifiants relève davantage de la reconnaissance (Reconnaissance, TA0043), une tactique qui consiste à récolter des informations exploitables pour de futures attaques. En parcourant les techniques associées, une correspond exactement : T1598, Phishing for Information.
MITRE établit lui-même cette distinction : lorsque l’objectif n’est pas l’exécution de code malveillant mais la collecte de données, l’incident ne relève pas de la technique T1566 (Phishing), mais bien de T1598 (Phishing for Information), où le but est d’obtenir des informations, le plus souvent des identifiants, plutôt que d’exécuter du code malveillant sur la machine de la victime.
Pourquoi cette rigueur en vaut la peine
Lors de la rétrospective, un analyste a soulevé une question pertinente : pourquoi perdre du temps à décortiquer plus de 400 techniques ATT&CK alors qu’on peut agir rapidement ? C’est une remarque valide, et c’est précisément pour cette raison qu’ATT&CK a été conçu.
Mapping ATT&CK correctement appliqué à notre cas :
- Étape 1 — Reconnaissance : T1598.003 Spearphishing Link. L’attaquant envoie un e-mail pour collecter des identifiants.
- Étape 2 — Accès aux identifiants : T1056.003 Web Portal Capture. L’utilisateur saisit ses identifiants sur la fausse page de connexion.
- Étape 3 — Accès initial : T1078 Valid Accounts. L’attaquant se connecte ultérieurement avec les identifiants volés.
Cette cartographie révèle clairement l’intention, les étapes et les risques. Elle renforce aussi la cohérence de la terminologie utilisée dans les rapports, facilite la communication entre équipes et standardise le partage d’informations dans le cadre du Cyber Threat Intelligence (CTI). Par exemple, si un groupe est connu pour mener des campagnes de phishing à des fins de reconnaissance suivies d’un usage de comptes valides, une cartographie précise permet d’établir des corrélations comportementales plus fines qu’une simple étiquette générique « phishing ».
Suivies dans le temps, les cartographies MITRE ATT&CK sont aussi un excellent indicateur de maturité opérationnelle. Elles permettent de répondre à une question clé : sommes-nous capables de distinguer un e-mail malveillant contenant une pièce jointe d’une tentative de vol d’identifiants via un faux portail ?
Ce que cela signifie pour votre programme de security awareness
Ce cas rappelle que le security awareness ne peut pas reposer sur un seul modèle mental du « phishing ». Les employés sont formés à repérer les pièces jointes et liens suspects, mais les pages de vol d’identifiants sont conçues pour paraître légitimes, sans qu’aucun malware ne touche le poste de travail. Un programme de security awareness mature, associé à des exercices réguliers de phishing simulation, garde les employés vigilants face aux fausses pages de connexion spécifiquement, tandis que la détection du SOC doit, de son côté, repérer indépendamment les connexions à comptes valides depuis des lieux ou selon des schémas inhabituels, puisque c’est là que ce type d’attaque se matérialise (T1078 Valid Accounts). L’authentification multifacteur reste l’un des contrôles les plus efficaces contre cette dernière étape, même lorsque les identifiants ont déjà été volés.
Conclusion : la précision fait la maturité d’un SOC
La précision est essentielle. Il ne s’agit pas seulement de savoir ce que l’attaquant a fait, mais pourquoi il l’a fait. Cette compréhension guide l’enquête, la réponse à l’incident et la qualité des rapports. Les e-mails de phishing se déclinent sous diverses formes ; vos cartographies ATT&CK devraient en faire de même.
FAQ
Quelle est la différence entre Phishing (T1566) et Phishing for Information (T1598) ?
Phishing (T1566) couvre les tentatives d’accès initial, généralement via des pièces jointes ou liens malveillants qui livrent un malware. Phishing for Information (T1598) couvre les tentatives visant à obtenir des données, le plus souvent des identifiants, sans exécuter de code malveillant.
Pourquoi cette distinction compte-t-elle pour la maturité d’un SOC ?
Bien séparer les deux permet de savoir si la détection d’un SOC ne capte que le phishing basé sur un malware, ou aussi les tentatives de vol d’identifiants qui mènent ensuite à un usage de comptes valides plus loin dans la chaîne d’attaque.
Un programme de security awareness peut-il empêcher le vol d’identifiants par phishing ?
La formation à la sécurité réduit le nombre d’employés qui se laissent piéger par une fausse page de connexion, mais elle ne remplace pas la détection, côté SOC, d’un usage frauduleux d’identifiants volés. Les deux doivent fonctionner ensemble, dans le cadre d’un programme plus large de security awareness et de phishing simulation.
Curieux de savoir si la détection de votre propre SOC est aussi précise ? Parlez-en à nos experts SOC pour évaluer votre couverture actuelle du phishing.