Pas de ransomware tapageur ni d’exploit exotique : Helix mise sur le bon vieux coup de fil pour vider vos SharePoint. Un nouveau groupe d’extorsion baptisé Helix vient d’apparaître, et sa spécialité n’est pas la technique lourde mais l’art de manipuler les humains pour rafler des données sensibles.
Points clés
- Helix est un nouveau groupe d’extorsion centré sur le vol d’identité plutôt que sur les malwares classiques
- Ses armes : hameçonnage vocal (vishing), device code phishing et contournement de l’authentification multifacteur
- Les cibles sont les environnements SharePoint, riches en documents d’entreprise sensibles
- La MFA ne protège pas quand l’utilisateur valide lui-même une connexion frauduleuse
Le maillon faible s’appelle toujours l’utilisateur
Plutôt que de forcer des serveurs, Helix attaque l’identité. Le groupe combine le vishing (hameçonnage vocal, autrement dit un appel qui se fait passer pour le support IT), le device code phishing et l’abus de l’authentification multifacteur (MFA). L’objectif : convaincre une victime de valider une connexion ou de lâcher un code, puis se glisser dans son compte sans casser la moindre porte.
Le device code phishing exploite un flux d’authentification légitime, celui pensé pour les appareils sans clavier confortable comme les télés connectées. L’attaquant génère un code, l’envoie à la cible en la persuadant de le saisir sur une page Microsoft authentique, et récupère au passage les jetons d’accès. Tout est propre, tout est signé, tout est validé par l’utilisateur lui-même. Le rêve de l’ingénieur social.
Direction SharePoint, là où dorment les documents
Une fois l’accès obtenu, Helix cible les environnements SharePoint, ces immenses bibliothèques de documents d’entreprise où s’entassent contrats, données RH et fichiers internes. Le groupe y siphonne les données puis passe à la phase extorsion, sans forcément chiffrer quoi que ce soit. Le vol de données suffit à faire levier.
La méthode a le mérite de la discrétion : pas de charge malveillante bruyante que les antivirus repèrent, juste des identifiants détournés qui ouvrent les portes comme si de rien n’était. Les défenses techniques ne servent pas à grand-chose quand l’intrus entre avec un badge valide.
La MFA n’est pas une armure
Le cas Helix rappelle une réalité que le marketing sécurité préfère taire : la double authentification n’arrête pas un utilisateur qui approuve lui-même la connexion. La MFA fatigue, les demandes de validation à répétition et les faux appels du support restent des vecteurs redoutablement efficaces.
Face à ce genre de menace, la parade tient moins dans un nouvel outil que dans la méfiance élémentaire : un appel non sollicité qui réclame un code de connexion mérite un raccrochage immédiat. Le meilleur pare-feu reste encore un employé qui ne fait confiance à personne au téléphone.
