Singapour prévient que les escroqueries cryptographiques sur LinkedIn avec de fausses offres d'emploi ont déjà causé des pertes de 11,8 millions de dollars grâce à des logiciels malveillants qui ont volé des jetons de session et contourné le MFA.
Faites de nous votre source préférée sur
gsoitsoitgjeet
Les autorités de Singapour ont averti que arnaques cryptographiques sur LinkedIn Déguisées en offres d'emploi, elles ont déjà causé des pertes de 11,8 millions de dollars américains (environ 15 millions de dollars singapouriens). Le stratagème ne cible pas le portefeuille direct de la victime, mais plutôt les entreprises dans lesquelles elle travaille : les attaquants se font passer pour des recruteurs, envoient un prétendu test technique et, avec celui-ci, introduisent un malware qui finit par ouvrir la porte aux systèmes de l'entreprise.
L'avis conjoint de la Singapore Cyber Security Agency (CSA) et de la Police Force (SPF) décrit une opération patiente et bien montée. Tout commence par un contact qui semble légitime : un profil de recruteur qui propose un poste attractif dans le secteur crypto ou technologique et propose de procéder à une évaluation de programmation.
Comment fonctionnent les escroqueries cryptographiques sur LinkedIn
Le point de rupture est ce « test de code ». Lorsque la victime télécharge et exécute le prétendu fichier d’examen, elle installe en fait un logiciel malveillant sur son ordinateur. Ce malware ne recherche pas de mots de passe aléatoires : il s'en prend à un jeton de sessionles informations d'identification temporaires qu'un navigateur enregistre une fois que l'utilisateur s'est déjà connecté à un service.
Avec ce jeton en main, les attaquants ont réalisé quelque chose de particulièrement délicat : contourner l’authentification multifacteur (MFA). Au lieu d’essayer de forcer le deuxième facteur – le code du téléphone ou l’application – ils réutilisent une session déjà validée, comme quelqu’un entrant par une porte que la victime a laissée ouverte par inadvertance. Ils ont ainsi atteint un référentiel de code, l'endroit où une entreprise conserve les logiciels qu'elle développe et, bien souvent, les clés d'accès à d'autres systèmes.
Le vol de jetons de session est devenu une technique privilégiée précisément parce qu’il annule une grande partie de la valeur de la MFA. La victime croit être protégée par son deuxième facteur, mais l'attaquant n'a jamais besoin de le contourner : il opère avec une session que l'utilisateur a lui-même authentifié quelques minutes ou heures auparavant.
Un schéma qui se répète dans l’industrie
Le cas de Singapour correspond à une tendance que les chercheurs en sécurité documentent depuis des mois. Des groupes liés à des acteurs étatiques, en particulier des opérateurs associés à la Corée du Nord, ont utilisé de fausses offres d’emploi comme appât pour infiltrer les sociétés de cryptomonnaie et les développeurs individuels. La logique est simple : les profils techniques sont une cible précieuse et disposent souvent d’un accès privilégié au code et aux fonds.
La modalité « tâche de programmation » est récurrente car elle exploite quelque chose de difficile à protéger : la bonne foi d'un candidat qui veut démontrer ses compétences. Personne ne soupçonne un exercice technique envoyé par un recruteur en apparence sérieux, surtout lorsque le processus imite celui d'une véritable embauche, avec des entretiens et des messages de suivi.
L'industrie a un problème structurel avec le facteur humain. La plupart des incidents les plus coûteux de l'année ne sont pas nés de failles mathématiques dans la cryptographie, mais de tromperies dirigées contre des personnes ou de vulnérabilités dans les logiciels qu'elles utilisent quotidiennement. Sans aller plus loin, des cas ont été signalés comme une vulnérabilité dans Zoom construite avec une intelligence artificielle capable de prendre le contrôle d'un appareil, ou les attaques qui ont forcé la suspension des swaps Boltz.
Ce que recommandent les autorités
Le CSA et le SPF ont demandé aux travailleurs et aux entreprises de faire preuve d'une extrême prudence face à des processus de sélection qui arrivent sans contexte clair. Les signaux d’alarme incluent des tests techniques qui nécessitent le téléchargement et l’exécution d’exécutables, des liens vers des référentiels obscurs et une pression pour terminer les tâches rapidement.
- Méfiez-vous des offres d'emploi non sollicitées qui vous demandent d'installer des logiciels ou d'exécuter des scripts sur votre ordinateur personnel ou professionnel.
- Vérifiez de manière indépendante l'identité du recruteur et de l'entreprise, via les canaux officiels et pas seulement par le message reçu.
- Exécutez des tests de code dans des environnements isolés, tels que des machines virtuelles, et jamais sur des appareils ayant accès aux systèmes d'entreprise.
- Fermez les sessions actives et alternez les informations d'identification en cas de suspicion, car un jeton volé peut toujours être valide.
Pour les organisations, cet épisode souligne la nécessité de raccourcir la durée de vie des jetons de session, de surveiller les accès anormaux aux référentiels et de ne pas s'appuyer uniquement sur la MFA comme dernière barrière. Le chiffre de 11,8 millions de dollars reflète les dégâts cumulés d'une technique qui restera rentable tant que le maillon le plus faible restera la confiance face à une offre trop belle pour être vraie.