Clients du service d’administration à distance de PC Logmein.com et fournisseur de signature électronique Docusign.com se plaignent d’une éventuelle violation des informations client après avoir reçu des e-mails contenant des logiciels malveillants sur des comptes qu’ils ont enregistrés exclusivement pour une utilisation avec ces sociétés. Les deux sociétés disent enquêter sur les incidents, mais n’ont jusqu’à présent trouvé aucune preuve d’une violation de la sécurité.
Certains utilisateurs de LogMeIn a commencé à se plaindre de recevoir des spams de logiciels malveillants sur des adresses e-mail spécifiques à LogMeIn le 3 décembre 2012. Les messages correspondaient à des campagnes de spam qui usurpaient l’US Internal Revenue Service (IRS) et d’autres organisations dans le but d’inciter les destinataires à ouvrir une pièce jointe malveillante. Plusieurs utilisateurs de LogMeIn ont signalé avoir reçu du spam similaire à des adresses qu’ils avaient créées spécifiquement pour leurs comptes LogMeIn et qui n’avaient pas été utilisées à d’autres fins. Le premier utilisateur de LogMeIn à signaler l’activité suspecte a déclaré qu’il avait reçu un e-mail malveillant semblant provenir de DocuSign, mais qu’il avait été envoyé à une adresse créée exclusivement pour être utilisée avec LogMeIn (conseil à @PogoWasRight).
« J’ai un compte de messagerie qui me permet de mettre n’importe quoi devant le @ (at), ce qui aide à savoir à quoi/à qui je m’inscris », a écrit l’utilisateur de LogMeIn « Droolio » dans un fil de discussion sur le forum d’assistance de l’entreprise. « De cette façon, non seulement je sais qui a divulgué mes adresses e-mail (comme cela s’est produit avec Dropbox il y a quelques mois), mais les spammeurs peuvent être bloqués une fois qu’ils l’ont saisi. Mon PC est exempt de logiciels malveillants et j’utilise à peine LogMeIn (bien qu’il soit installé bien qu’il soit désactivé) et la dernière fois qu’il a été utilisé, c’était il y a des mois. [link added].
Utilisateur LogMeIn Justin McMurtryun agent immobilier à Houston, au Texas, a déclaré avoir reçu un message de spam de cheval de Troie sur son adresse e-mail spécifique à LogMeIn en même temps qu’il recevait le même message sur une adresse qu’il utilisait exclusivement pour DocuSign.
« Il est particulièrement inquiétant d’envisager la possibilité que les mots de passe des comptes LogMeIn et/ou Docusign aient également été divulgués », a écrit McMurtry sur le forum d’assistance de LogMeIn. « Les attaquants capables de se connecter en utilisant les informations d’identification LogMeIn de quelqu’un pourraient éventuellement avoir un accès interactif complet à n’importe quel nombre d’ordinateurs et d’appareils mobiles. »
Porte-parole de LogMeIn Craig Ver Colena déclaré que bien que l’enquête reste ouverte, la société n’a jusqu’à présent trouvé aucun signe de compromission des informations de ses utilisateurs.
« Il convient de noter que dans le cadre de l’enquête, nous avons trouvé des points communs avec les conventions de dénomination des e-mails associés aux rapports », a écrit VerColen dans un e-mail à BreachTrace. « Beaucoup (près de 30 %) des rapports – et cela inclut tous les rapports, pas seulement la poignée de personnes signalant la réclamation par e-mail unique – incluaient des variantes de LogMeIn dans le nom, par exemple [email protected], [email protected], [email protected]. La majorité des autres utilisaient soit des préfixes communs, par exemple [email protected], [email protected], [email protected], soit des prénoms communs, par exemple [email protected]. Bien que ce ne soit pas le cas avec toutes les adresses e-mail, les points communs semblent suggérer un modèle.
De son côté, DocuSign a publié une déclaration disant qu’il enquête sur l’incident et travaille avec les forces de l’ordre pour prendre de nouvelles mesures. Mais il a attribué l’incident à des attaques de phishing agressives, notant que « les fournisseurs d’antivirus signalent que les incidents de code malveillant ont augmenté de 3 600 % ces dernières semaines ».
« L’enquête est toujours en cours, mais nous n’avons vu aucune sorte d’indication d’une violation de données », a déclaré Dustin Grossedirecteur marketing de DocuSign.
En juillet, les utilisateurs du service de synchronisation et de partage de fichiers DropBox.com ont commencé à se plaindre de recevoir des spams à des adresses qu’ils avaient enregistrées pour une utilisation exclusive avec le service. DropBox a initialement déclaré que son enquête n’avait révélé aucune violation interne, mais deux semaines plus tard, la société a révélé qu’un faux pas d’un employé avait causé la fuite par inadvertance.