Alerte - AL26-028 – Campagne continue d’hameçonnage vocal lié au soutien technique ciblant des organisations canadiennes

Numéro : AL26-028
Date : 28 octobre 2026

Auditoire

La présente alerte s’adresse aux professionnelles et professionnels des TI et aux gestionnaires.

Objet

Une alerte vise à sensibiliser les destinataires à une cybermenace récemment relevée pouvant toucher les biens d’information électroniques et à fournir des conseils supplémentaires en matière de détection et d’atténuation. Le Centre canadien pour la cybersécurité (ou Centre pour la cybersécurité) peut offrir une assistance supplémentaire aux destinataires qui en font la demande.

Détails

Le Centre canadien pour la cybersécurité (Centre pour la cybersécurité) est au courant d’une campagne continue d’hameçonnage vocal ciblant des organisations canadiennes, notamment dans le secteur juridique et judiciaire et dans le secteur des finances. Plusieurs entreprises canadiennes ont été ciblées par des personnes qui se font passer pour du personnel de soutien technique interne et qui dirigent les employées ou employés vers des pages d’ouverture de session frauduleuses. L’infrastructure et le savoir-faire utilisés correspondent à des activités menées par un auteur de menace motivé par l’appât du gain ayant fait l’objet de rapports publics^{Note de bas de page 1Note de bas de page 2}.

Tout au long de 2026, ces activités sont passées d’un secteur à l’autre et ciblent de plus en plus des organisations du secteur juridique et judiciaire et du secteur des finances depuis juillet^{Note de bas de page 1}. Le Centre pour la cybersécurité a identifié des infrastructures connexes où figurait le nom d’organisations canadiennes remontant au mois de janvier. Les activités recensées en octobre ciblaient principalement le secteur juridique et judiciaire. La campagne réussit à contourner l’authentification multifacteur (AMF) grâce à un relais en temps réel et change fréquemment les domaines utilisés comme leurres, ce qui réduit l’efficacité des listes de rejet.

Accès initial

• Hameçonnage vocal lié au soutien technique : La personne au téléphone s’identifie comme membre de l’équipe de soutien technique interne et prétend qu’il faut effectuer de façon urgente la migration d’une clé d’accès, l’inscription à l’AMF ou la modification d’un mot de passe. Les appels peuvent cibler des téléphones cellulaires personnels, des téléphones de bureau ou Microsoft Teams et peuvent sembler provenir de numéros légitimes des services de soutien. Les personnes au bout du fil peuvent faire référence à du personnel des TI à l’interne ou au fait que des dates limites aient été dépassées pour renforcer la crédibilité de l’appel, et elles risquent de raccrocher si l’employée ou employé ciblé tente de faire une vérification indépendante^{Note de bas de page 1}.
• Pages de connexion usurpant l’image de marque de l’organisation dans le cadre d’attaques de l’adversaire au milieu : La personne au téléphone dirige l’employée ou employé vers un sous-domaine qui ressemble à l’image de marque de l’organisation, sous un domaine racine générique conçu pour imiter un portail d’inscription.
  • Le nom de l’organisation ciblée peut apparaître comme sous-domaine d’un domaine générique (p.ex., <nom-organisation>.onetimesso[.]com, <nom-organisation>.registermymfa[.]com) ou être intégré directement à un domaine nouvellement enregistré (p.ex., <nom-organisation>sso[.]com, <nom-organisation>internal[.]com).
  • Les domaines combinent souvent des termes d’action comme « activate », « enroll », « register », « create », « add », « enable », « deploy » ou « set » avec des termes liés à l’authentification comme « passkey », « sso », « mfa » ou « 2fa ». D’autres termes couramment utilisés comprennent « okta », « internal », « signin », « account », « security », « portal », « setup », « connect » et « sync ».
  • La page relaie les identifiants et les réponses d’AMF au fournisseur d’identité légitime, ce qui permet à l’acteur d’obtenir une session authentifiée ^{Note de bas de page 1Note de bas de page 2}.

Activité post-compromission

Selon les rapports, après avoir obtenu une session authentifiée, l’auteur de menace procède comme suit ^{Note de bas de page 1Footnote 2}:

• Il enregistre des méthodes d’AMF ou des appareils contrôlés par l’attaquant afin de maintenir son accès.
• Il supprime les notifications de réinitialisation de mot de passe, de modification d’AMF et de sécurité, puis réinitialise les mots de passe des applications non fondées sur l’authentification unique (SSO pour Single Sign-On).
• Il utilise des scripts automatisés et Microsoft Graph pour accéder aux données de Microsoft 365 et d’applications de logiciels-services (SaaS pour Software as a Service) connectées, notamment SharePoint et OneDrive, et les exfiltrer.
• Il envoie des demandes d’extorsion à la suite du vol de données.

Mesures recommandées

Le Centre pour la cybersécurité recommande aux organismes de prendre les mesures suivantes :

• Déployer des mécanismes d’AMF résistants à l’hameçonnage, comme des clés de sécurité FIDO2, des clés d’accès liées à l’appareil ou des authentifiants de plateforme, en particulier pour les utilisatrices et utilisateurs de comptes privilégiés ou qui présentent un risque élevé ^{Footnote 3}.
• Appliquer des stratégies d’accès conditionnel qui exigent l’utilisation d’appareils gérés et restreindre les connexions provenant de réseaux privés virtuels (RPV) commerciaux, de fournisseurs d’hébergement et de mandataires résidentiels
• Renforcer la vérification lors de la réinitialisation de l’AMF, de la récupération de comptes et de l’inscription de nouveaux appareils, et réduire la durée des sessions ^{Note de bas de page 1}.
• Surveiller les inscriptions suspectes à l’AMF, les accès automatisés ou à volume élevé aux fichiers de Microsoft 365, la suppression de courriels liés à la sécurité et les domaines nouvellement enregistrés qui usurpent l’identité de l’organisation ^{Note de bas de page 2}.
• Demander aux membres du personnel de vérifier par un moyen indépendant la légitimité de tout appel inattendu du soutien informatique demandant de modifier l’AMF, une clé d’accès ou un mot de passe, peu importe l’identité affichée de la personne qui appelle ou le caractère urgent de la demande ^{Note de bas de page 4}.
• Fournir un moyen clair de signaler les appels suspects et les sites Web qui y sont associés.
• Si une compromission est soupçonnée, révoquer les sessions et les jetons actifs, réinitialiser les justificatifs d’identité, supprimer les méthodes d’AMF ou les appareils non autorisés, et examiner les activités liées aux boîtes aux lettres et aux fichiers.
• Conserver les journaux d’audit pertinents du fournisseur d’identité et de Microsoft 365 aux fins d’enquête^{Note de bas de page5}.
• Restreindre les communications externes dans les plateformes de collaboration (p. ex., Microsoft Teams, Webex, Slack, entre autres), notamment les messages directs, les appels et les invitations à des réunions, aux utilisateurs externes de confiance ou dont l’accès est nécessaire aux opérations, et examiner régulièrement les accès invités et les autorisations.

Les organisations devraient également consulter les 10 mesures de sécurité des TI du Centre pour la cybersécurité ^{Note de bas de page6}.

Si les destinataires relèvent des activités semblables aux informations fournies dans la présente alerte, ils sont invités à le signaler par l'entremise de Mon cyberportail ou par courriel à contact@cyber.gc.ca.

References