Cybersécurité : des chatbots bientôt détournés contre votre réseau et vos utilisateurs

Les cybercriminels se servent désormais des chatbots pour nuire à la réputation des entreprises en postant des insultes en leur nom.

Ils parviennent aussi à obtenir des numéros de carte de crédit en faisant croire aux utilisateurs que le robot conversationnel est un service de support officiel.

Les chatbots, ce sont ces automates conversationnels qui fleurissent sur les sites web commerciaux et répondent aux questions des visiteurs pour réduire les appels vers les call centers. Il s’agit surtout d’une nouvelle technologie et, en tant que telle, elle n’échappe pas à l’appétit des hackers pour détourner les usages numériques.

Corrompre un chatbot pour pénétrer le réseau...

En juin dernier, la filiale britannique de la billetterie en ligne Ticketmaster a révélé qu'une brèche aurait permis le vol d'environ 40 000 cartes de crédit appartenant à ses clients internationaux. Le groupe de cybercriminels, identifié comme étant Magecart, a exploité une faille dans un code Javascript conçu par le prestataire Inbenta pour motoriser les chatbots du service. Selon un communiqué de ce prestataire, Ticketmaster aurait mal déployé ce script et aurait permis aux cybercriminels de dérober les informations de paiement enregistrées depuis février.

...ou piéger les utilisateurs d’un service

Microsoft et Tinder ont essuyé d’autres déconvenues. On se souvient qu’en 2016 le chatbot Tay du premier avait été piraté pour proférer des insultes racistes, moyennant une tactique dite de « pollution dans les canaux de communication ».

Concernant Tinder, les cybercriminels ont programmé un chabot pour qu’il simule une interlocutrice demandant à ses victimes d’indiquer dans leur échanges les informations de leurs cartes de crédit. Soi-disant afin de vérifier qu’ils étaient légitimes sur cette plateforme de rencontre.

Aujourd’hui, Il est donc tout à fait envisageable que des pirates trouvent dans le code des chatbots une faille qui leur permettrait d’entrer sur le réseau d’une entreprise, pour y dérober des informations ou les corrompre. Il se peut aussi que des malfaiteurs choisissent plus simplement de se faire passer pour un chatbot, afin d’orienter une conversation vers la divulgation d’informations privées.

Des contre-mesures traditionnelles, faute de mieux

Le problème posé par une menace de cyberattaque via des chatbots est que les cas existants sont souvent passés sous silence et, de fait, les risques encourus restent méconnus. En plus des types d’attaques précédemment mentionnées, il se peut que des cybercriminels s’en servent pour propager des liens vers des sites contrefaits (phishing) ou pour diffuser des malwares au sein du réseau interne.

Mais puisque la plupart de ces attaques sont menées contre des logiciels, plusieurs solutions de sécurité existantes demeurent efficaces. En premier lieu, l’installation régulière de correctifs de sécurité est un impératif pour que les failles connues ne puissent pas être exploitées. Ensuite, exiger une authentification multi-facteurs pour vérifier l'identité d'un utilisateur évite qu’un robot ne se fasse passer pour l’un d’entre eux.

Le chiffrement et la sensibilisation restent les plus efficaces 

Concernant la protection des informations recueillies par un chatbot légitime, le chiffrement lors des échanges, lors de l’analyse et lors du stockage est une contre-mesure qui a fait ses preuves contre des hackers qui parviendraient à infiltrer le réseau, la mémoire des serveurs et les disques durs utilisés. Concernant la mémoire des serveurs, il est même possible de découper les informations en différentes pièces, individuellement chiffrées, pour compliquer encore plus le travail des hackers. Quant au stockage, il est pertinent de définir des règles qui effacent automatiquement les informations au-delà d’un certain délai.

La sensibilisation des utilisateurs au danger reste néanmoins la précaution la plus payante. Gageons que la lecture de cet article suffise à éveiller les consciences sur la menace nouvelle d’une cyberattaque via les chatbots.

 

Annonces Google