C'est officiel : les cyber-espions les plus redoutés du Kremlin viennent d'échanger leurs exploits zéro-day contre des popups de pacotille. Selon des rapports récents, les groupes APT russes – oui, ceux qui ont fait trembler le DNC et paralysé des centrales électriques – utilisent désormais Clickfix, une technique d'ingénierie sociale tellement grossière qu'elle ferait rougir un arnaqueur au faux support technique de Bangalore. Félicitations, messieurs les génies du renseignement numérique : vous avez découvert le phishing.
Clickfix : le couteau suisse des amateurs
Pour ceux qui vivent sous une pierre (ou protégés par un bon adblock), Clickfix est une méthode qui pousse la victime à cliquer sur un message trompeur – « Votre système est infecté », « Mettez à jour votre lecteur Flash » – pour exécuter du code malveillant. Rien de neuf sous le soleil. Les cybercriminels à la petite semaine s'en servent depuis des années pour dérober des identifiants bancaires. Mais aujourd'hui, ce sont les hackers d'État les plus sophistiqués qui s'y mettent. La chute est vertigineuse.
Pourquoi les élites russes se mettent à table
La raison officielle ? Pragmatisme : Clickfix fonctionne encore, surtout auprès d'utilisateurs peu méfiants. La raison officieuse ? Un manque criant d'innovation – ou une volonté de maximiser le rapport temps/argent. Après tout, pourquoi développer un exploit complexe quand un popup mal fagoté fait aussi bien l'affaire ? Mais ne nous y trompons pas : ce virage est un aveu de médiocrité. Les groupes comme APT28 (Fancy Bear) ou APT29 (Cozy Bear) étaient censés être l'avant-garde du cyberespionnage. Aujourd'hui, ils recyclent les astuces des escrocs du dark web.
L'argent sale fait tourner le monde
Suivez le fric. Clickfix est principalement utilisé par des criminels financiers – rançongiciels, vol de données bancaires. En adoptant cette méthode, les hackers russes brouillent la frontière entre espionnage d'État et délinquance crapuleuse. Ils sous-traitent peut-être même leurs opérations à des petits malfrats, moyennant commission. Après tout, pourquoi se salir les mains quand on peut faire bosser un réseau de bots qui cliquent sur des pubs piégées ? La FSB doit être ravie : des résultats sans investissement, et une deniability parfaite.
Bienvenue dans l'ère de la médiocrité cyber
La prochaine fois qu'un rapport alarmiste vous parlera d'une « cyberattaque russe avancée », rappelez-vous ceci : elle a peut-être commencé par un simple popup « Cliquez ici pour gagner un iPhone ». L'élite du hacking russe n'est plus une élite ; c'est une bande d'opportunistes qui exploitent la crédulité humaine comme n'importe quel arnaqueur. Le génie est mort, vive le Clickfix. Et si vous croisez un expert en cybersécurité qui vous vante la sophistication des APT russes, demandez-lui combien de leurs attaques se résument à un bouton « OK » bien placé.