Les Jeux Olympiques de Rio 2016 seront probablement les Jeux les plus numériques de l'histoire, ce qui crée de nombreuses opportunités pour les auteurs d'attaques comme pour le public. Une nouvelle étude de Proofpoint suggère que ces risques numériques pourraient affecter les participants virtuels et les fans dans le monde entier.
Au total, nous avons analysé plus de 1 300 comptes de réseaux sociaux liés aux Jeux Olympiques et des milliers d'applis mobiles disponibles via Facebook, Twitter, Instagram, Google+, YouTube et divers AppStore. Nos conclusions décrivent en détail les diverses activités frauduleuses des auteurs d'attaques désireux de mettre à profit cet intérêt international.
En voici quelques résultats clés :
- 15 % des comptes associés aux Jeux Olympiques étaient frauduleux et 84 % appartenaient à des imposteurs. Un grand nombre de comptes correspondaient à du streaming illégal en direct, à du phishing, à des ventes non autorisées de billets et à de la propagande anti-Jeux Olympiques.
- Les incidents de contenu malveillant ont augmenté de 60 % deux mois avant les Jeux. Si ces incidents suivent la même évolution que lors des Jeux de Sochi, nous pouvons nous attendre à une autre augmentation de 40 % avant que les Jeux ne commencent.
- Le contenu social global a doublé au cours des deux mois qui ont précédé les Jeux.
- Nous avons pu identifier plus de 4 500 applis mobiles liées aux Jeux Olympiques et aux marques des sponsors. De nombreux exemples d'applis mobiles risquées sont inclus dans ces plus de 4 000 applis Android et 500 applis iOS.
Un contenu Olympique accru et un contenu malveillant ignoré
Pour les sponsors, les marques, les équipes et les athlètes qui interagissent avec un public international, les réseaux sociaux sont incontournables. Il n'est donc en rien surprenant de voir que le contenu lié aux Jeux Olympiques, qu'il soit diffusé par les marques ou les commentateurs, ait connu un essor radical avant les Jeux.
Figure 1 : Sur les réseaux sociaux, le contenu des comptes liés aux Jeux Olympiques a doublé au cours des deux mois qui ont précédé les Jeux.
En parallèle, le contenu potentiellement malveillant a augmenté de 60 % (Figure 2). Ce type de contenu peut inclure des injures, de la pornographie, des violations de marques déposées et des publications de spam, et intégrer des liens éventuellement associés à des sites Web douteux ou compromis. 15 % de ce contenu présentait un risque de sécurité, tandis que 42 % correspondait à du contenu injurieux ou réservé aux adultes.
Figure 2 : Le contenu douteux, illégal ou malveillant a augmenté de 60 % au cours des deux mois qui ont précédé les Jeux.
Si l'on tient compte des observations des Jeux Olympiques d'hiver organisés à Sochi en 2014, nous pouvons nous attendre à ce que le contenu négatif lié aux Jeux augmente encore de 40 % d'ici le début de la compétition.
Des comptes de réseaux sociaux frauduleux pour leurrer les fans
Qu'il soit négatif ou potentiellement offensant, le contenu est loin d'être le seul risque encouru par tous ceux qui passent par les réseaux sociaux pour s'informer sur les Jeux Olympiques. Nous avons analysé 1 310 comptes de réseaux sociaux liés aux Jeux Olympiques et à des marques de sponsors. Parmi ceux-ci, 15 % étaient frauduleux et étaient suivis par plus de 400 000 abonnés ou followers. Un examen plus approfondi a permis de déceler un grand nombre de comptes appartenant à des imposteurs, de même qu'un nombre relativement important de comptes associés à des activités plus manifestement criminelles :
- 82 % de ces comptes appartenaient à des imposteurs, et mettaient en avant des éléments de marque mensongers liés aux Jeux Olympiques ou à ses sponsors pour attirer les followers et les inciter à interagir.
- 6 % proposaient la diffusion illégale en streaming des événements Olympiques en direct.
- 6 % exploitaient la popularité des Jeux pour dérober les identifiants de connexion des followers au travers d'attaques par phishing.
- 4 % des comptes étaient impliqués dans la vente de faux billets ou de billets non autorisés.
- 3 % reproduisaient les pages des Jeux Olympiques pour diffuser de la propagande anti-Jeux ou anti-Brésil.
La Figure 3 montre par exemple une page frauduleuse incluant des liens de phishing, conçue pour inciter les utilisateurs à communiquer leurs identifiants de connexion, les numéros de leur carte bancaire et autres données sensibles. D'autres sites, supposés offrir des billets gratuits ou soldés, correspondent en fait à des escroqueries à la carte bancaire.
Figure 3 : Exemple de tentative de phishing liée aux Jeux Olympiques
Dans un autre exemple, les auteurs d'attaques ont imité le compte Twitter d'une grande compagnie aérienne et tweeté des liens malveillants conduisant à l'un des sponsors des Jeux. Ces liens propageaient un logiciel malveillant dans les ordinateurs vulnérables.
Des logiciels malveillants pour mobiles qui ciblent également les fans via les réseaux sociaux
Les logiciels malveillants propagés via les réseaux sociaux ne se limitent pas aux ordinateurs de bureau. Il y a trois semaines, nous avons repéré la publication d'un kit d'installation Android malveillant sur des pages Facebook liées aux Jeux Olympiques. Il y a une semaine, nous avons détecté quatre nouvelles instances de ce même kit, susceptibles de prendre le contrôle des appareils Android et de voler des informations sensibles.
Figure 4 : Liens conduisant à un logiciel malveillant pour mobile, publié sur des pages Facebook liées aux Jeux Olympiques
Pour les auteurs d'attaques, les applis mobiles sont également des cibles potentielles. Nous avons pu détecter plus de 4 000 applis Android et 500 applis iOS associées aux Jeux et au comportement suspect ou malveillant. L'une d'elles (Figure 5), qui proposait notamment des actualités sur les Jeux, contenait en réalité du code capable de prendre le contrôle de comptes de réseaux sociaux, de lire les données des appareils sur lesquels les utilisateurs branchaient leur téléphone, et de transmettre ces données à des réseaux publicitaires tiers.
Figure 5 : Appli suspecte liée aux Jeux Olympiques susceptible de dérober des informations
Conseils destinés aux fans et aux marques pour les réseaux sociaux
Comme bon nombre de grands événements, qu'il s'agisse de fêtes nationales, d'élections ou de compétitions sportives, les auteurs d'attaques cherchent à mettre à profit notre curiosité et notre avidité à profiter des supports numériques. En conséquence, et parce qu'ils constituent des cibles privilégiées, consommateurs et marques doivent faire preuve d'une prudence extrême dans toutes leurs interactions sur les réseaux sociaux et les applications mobiles en lien avec les Jeux Olympiques.
De manière générale, les particuliers doivent :
- Limiter les interactions aux pages de réseaux sociaux vérifiées, et utiliser uniquement les applis mobiles officielles, disponibles sur le site Web officiel des marques
- Acheter les billets uniquement sur le site officiel des Jeux Olympiques
- Éviter le streaming gratuit, les offres qui semblent « trop belles pour être vraies » et les applis mobiles officieuses
De leur côté, les marques doivent :
- Automatiser la modération du contenu afin de gérer l'augmentation du volume de contenu potentiellement offensant ou malveillant
- Utiliser un outil de détection pour localiser les comptes de réseaux sociaux et applis mobiles frauduleux et favoriser leur fermeture
- Installer un outil de protection des réseaux sociaux afin d'atténuer le piratage des comptes
- Utiliser des mots de passe renforcés et adopter l'authentification à deux facteurs
- Limiter le nombre d'applis connectées autorisées à publier sur leurs pages
Alors que la sécurité physique des athlètes et des participants présents à Rio a fait les gros titres des Jeux Olympiques 2016, la sécurité numérique se montre toute aussi préoccupante. Dans les semaines qui viennent, les fans du monde entier suivront leurs athlètes favoris, tandis que les marques interagiront avec eux au travers d'une scène internationale virtuelle. Profitez des Jeux en toute sécurité, que vous les suiviez directement à Rio ou sur un écran depuis l'autre côté de la planète.