Alerte CCCS : campagnes de compromission SaaS par ingénierie sociale ciblant les identités d'entreprise

Sun, 05 Apr 2026 00:00:00 +0000

🏛️ Contexte

Alerte de sécurité AL26-010 publiée le 1er mai 2026 par le Centre canadien pour la cybersécurité (CCCS). Elle s’adresse aux professionnels TI et gestionnaires. Elle documente des cyberactivités malveillantes continues à motivation financière observées depuis mi-2025, avec une évolution marquée vers l’ingénierie sociale ciblant les plateformes SaaS et de gestion des identités d’entreprise.

🎯 Vecteurs d’accès initial

Les campagnes n’exploitent pas de vulnérabilités logicielles mais reposent sur :

Hameçonnage vocal (vishing) : usurpation d’identité de personnel IT ou de fournisseurs de confiance pour inciter les employés à s’authentifier sur des portails contrôlés par l’attaquant ou à modifier leur AMF
Collecte de justificatifs et interception d’AMF : pages de phishing usurpant des marques, utilisation de cadriciels AiTM (Adversary-in-the-Middle) pour capturer des sessions SSO valides en temps réel
Usurpation de sous-domaines : recours à des sous-domaines imitant les portails SSO (ex. <organization>sso[.]com) pour contourner les contrôles de réputation de domaines
Abus des processus de service d’assistance : manipulation du personnel de support pour réinitialiser l’AMF ou inscrire des dispositifs contrôlés par l’attaquant
Compromission de la chaîne d’approvisionnement SaaS : vol de jetons OAuth de rafraîchissement depuis des fournisseurs tiers compromis pour accéder aux systèmes clients sans déclencher l’AMF

🔍 Indicateurs clés observés

Création de jetons OAuth lors d’appels suspects
Connexions d’applications génériques (ex. « Outil de soutien », « Chargeur de données »)
Sessions concurrentes depuis des IP ou régions différentes en quelques minutes
Utilisation de jetons depuis des adresses IP étrangères, VPN ou nœuds Tor dans les secondes suivant leur création
Absence de défi AMF dans les journaux d’authentification
Hausse soudaine de requêtes API REST ciblant des objets à forte valeur (comptes, contacts, dossiers)
Requêtes SELECT * sur des tables entières rarement consultées

💥 Activité post-compromission

Déplacement latéral entre applications SaaS (messagerie, GRC, RH, référentiels documentaires) via SSO
Exfiltration massive de données via API et fonctions d’export légitimes
Exploitation d’intégrations SaaS tierces et de jetons stockés pour accéder aux systèmes en aval
Campagnes d’extorsion avec menace de publication ou vente des données sur des sites de fuites ou forums clandestins
Absence de déploiement de maliciels, rendant la détection par les outils endpoint conventionnels inefficace

📌 Type et portée