Manipulation ciblée : Campagnes de piratage psychologique et de harponnage de l’Iran

Procédé relatif aux campagnes de piratage psychologique sophistiquées de l’Iran

Nous estimons que les auteurs de cybermenace iraniens personnalisent leurs campagnes de piratage psychologique pour en améliorer l’efficacité en créant des personnages convaincants, en établissant des relations avec les personnes ciblées sur une période prolongée et en utilisant du contenu attrayant et fortement émotionnel lié à des questions géopolitiques d’actualité ou à des événements traumatisants.

Figure 1 : Processus de pirate psychologique et de harponnage

Les auteurs de menace créent de faux personnages sur de nombreux médias sociaux.

Ces personnages interagissent avec la cible et établissent souvent un lien de confiance en s'appuyant sur des intérêts communs.

Les auteurs de menace envoient un lien ou un fichier malveillant ou ils tentent de compromettre un dispositif.

Création de personnages attrayants

Les auteurs de cybermenace iraniens créent et exploitent de faux personnages pour établir une relation avec les personnes ciblées et instaurer la confiance. Les relations sont typiquement établies à partir d’intérêts professionnels ou personnels de la victime. Les personnages permettent une approche organisée et interactive pour établir la confiance et l’apparence de légitimité auprès des victimes, et c’est d’autant plus facile aujourd’hui que les « personnalités professionnelles et sociales » d’un plus grand nombre de personnes sont en ligne et impossibles à distinguer de la « personnalité hors ligne ». Nous estimons que les auteurs de cybermenace iraniens ont probablement recours à des personnages de femmes séduisantes pour manipuler leurs cibles^{Notes de bas de page2}. Nous croyons aussi que les auteurs de cybermenace iraniens se servent probablement de comptes de courriel déjà compromis et mystifiés pour donner une impression légitimité à leurs personnages et pour duper ultérieurement leurs victimes.

Les auteurs de cybermenace iraniens ont utilisé de faux personnages pour cibler des personnes qui œuvraient dans divers domaines, notamment :

• Entrepreneurs dans le domaine de la défense
• Personnel de l’industrie de l’aérospatiale
• Personnel du secteur de l’énergie
• Journalistes
• Universitaires
• Communauté de la recherche
• Activistes
• Figures politiques
• Diplomates
• Groupes de la société civile^{Notes de bas de page 1Notes de bas de page 2Notes de bas de page 3}

Étude de cas 1 : Instructrice d’aérobie de Liverpool ou pirate psychologique de l’Iran?

Une autrice ou un auteur de cybermenace iranien a utilisé le faux personnage de Marcella Flores, prétendument instructrice d’aérobie et entraîneuse professionnelle. Le personnage a établi une relation de plusieurs mois avec une personne qui travaillait pour un entrepreneur du secteur de l’aérospatiale.

Le faux personnage a nourri la relation à partir de plusieurs plateformes de communications, tant professionnelles que personnelles. Le personnage a ensuite transmis un maliciel à l’appareil de la victime à partir d’une feuille de calcul Excel déguisée en document de sondage sur l’alimentation^{Notes de bas de page 4}.

Étude de cas 2 : Mia Ash

Mia Ash était un faux personnage utilisé entre 2016 et 2017 par les auteurs de cybermenace iraniens afin de cibler des organisations au Moyen-Orient. Mia Ash prétendait être une photographe professionnelle britannique de 30 ans. Son profil a été créé au moyen d’images volées, probablement d’un compte Instagram d’un photographe légitime. Elle était présente sur plusieurs médias sociaux, dont Facebook, Blogger et LinkedIn.

Le personnage utilisait LinkedIn pour communiquer avec une personne qui travaillait pour une organisation ciblée et il échangeait des messages avec la victime à propos de la profession, de la photographie et des voyages. Par la suite, le personnage a encouragé la victime à devenir ami Facebook. La correspondance pouvait se poursuivre sur WhatsApp par courriel ou sur Facebook. Après quelques semaines, Mia Ash envoyait un document Excel malveillant à propos d’un sondage sur la photographie en encourageant la personne ciblée à ouvrir le document au travail et à utiliser son adresse de courriel d’entreprise. Après une première campagne d’hameçonnage non fructueuse, les auteurs de menace ont probablement eu recours à des personnages pour accéder à des actifs d’organisations ciblées.

Vulnérabilités émotionnelles et instauration de confiance : exploitation d’événements traumatisants

Les auteurs de cybermenace iraniens ont utilisé des personnages afin d’établir la confiance avec une personne ciblée en partageant des préoccupations concernant des événements traumatisants et des tragédies. Par exemple, il a été établi que des auteurs de cybermenace iraniens ont mené une campagne sur le thème de la guerre entre Israël et le Hamas et ont créé un faux site Web associé au mouvement « Bring Them Home Now ». Le site demandait le retour des otages israéliens détenus par le Hamas, et le site Web menait éventuellement au téléchargement d’une charge de virus.

En octobre 2022, suite au décès de Mahsa Amini et aux manifestations qui ont suivi en Iran, les auteurs de cybermenace iraniens ont créé de faux comptes Twitter (désormais X) pour le personnage Sara Shokouhi afin de mener une campagne de harponnage ciblant particulièrement les femmes associées à des activités de protestation, d’activisme politique et de recherche en droits de la personne, et ce, à l’intérieur comme à l’extérieur de l’Iran. Le personnage approchait ses victimes, prétendument au nom du groupe de réflexion U.S. Atlantic Council, afin d’instaurer la confiance et d’établir une relation pendant plusieurs semaines. Par la suite, le personnage tentait de voler des données d’identification ou de déployer des maliciels sur l’ordinateur ou l’appareil mobile de la victime^{Notes de bas de page5}.

Fausses collaborations et occasions professionnelles

Les auteurs de cybermenace iraniens font intervenir des intérêts professionnels partagés, présentent une possibilité de collaboration avec la victime, établissent un niveau de confiance supplémentaire et tentent d’accéder à des renseignements à partir du procédé. Dans plusieurs secteurs, y compris les universités, le journalisme, la recherche, l’activisme et les organisations non gouvernementales, la collaboration en ligne est un acte de routine. Les personnes appartenant à ces professions sont précieuses non seulement pour leurs connaissances, mais également pour leur réseau de contacts, les personnes qu’elles côtoient et les endroits auxquels elles peuvent accéder.

Occasions d’emploi

Les auteurs de cybermenace iraniens ont mené plusieurs opérations où ils ont eu recours à des personnages qui prétendaient être recruteurs et travailler pour des entreprises provenant du pays des victimes afin d’offrir des occasions d’emploi. Ces opérations ciblent habituellement les entrepreneurs du domaine de la défense des États-Unis au Moyen-Orient et les sous-traitants associés aux grandes compagnies de défense^{Notes de bas de page 2}.

Groupes de réflexion et instituts de recherche

Les auteurs de menace iraniens ont usurpé l’identité du président de la Middle East Institute aux États-Unis et ont communiqué avec des activistes iraniens et d’autres pays. Ils ont demandé à leurs victimes d’établir un partenariat et de collaborer sur leur sujet d’expertise. Une fois la confiance établie avec la victime après plusieurs messages, les auteurs de menace invitaient la personne à participer à une réunion virtuelle. Ils ont par la suite envoyé un lien malveillant afin de voler les données d’identification de la victime^{Notes de bas de page 6}.

Conférences

Dans une opération menée en 2021 pour recueillir des informations stratégiques à propos des relations avec Téhéran, les auteurs de cybermenace iraniens se sont fait passer pour des universitaires de la School of Oriental and African Studies (SOAS) de l’Université de Londres souhaitant organiser une conférence. Des personnages ont ciblé des spécialistes en politique étrangère, des journalistes et des universitaires spécialistes de la politique au Moyen-Orient. Ils ont établi des relations avec leurs cibles et communiqué avec elles afin de pouvoir ultérieurement leur envoyer un lien vers un site compromis pour s’inscrire à une conférence^{Notes de bas de page 2}.

Il a été établi que des auteurs de cybermenace iraniens ont ciblé des membres du personnel de Human Rights Watch des journalistes et des activistes des droits de la personne au moyen de WhatsApp. Ces auteurs prétendaient faire partie d’un groupe de réflexion au Liban et invitaient les personnes à une conférence. Les auteurs se faisaient passer pour une personne ayant déjà travaillé pour le groupe de réflexion et ont utilisé un format similaire aux invitations précédentes du groupe^{Notes de bas de page 2Notes de bas de page 3}.

Médias et expertise

Les auteurs de cybermenace iraniens ont eu recours à des personnages journalistiques à de multiples occasions afin de mener des opérations d’ingérence ou d’influence auprès de leurs victimes. Un rapport de 2020 indiquait que les auteurs de cybermenace iraniens ont mis au point de faux personnages pour usurper l’identité de réels journalistes de grands journaux, dont le New York Times, CNN et The Wall Street Journal. Les auteurs de menace pouvaient ensuite mener leurs victimes vers des plateformes de clavardage chiffrées, comme WhatsApp, et éventuellement les renvoyer vers des conférences vidéo truquées où la victime présumément continuerait d’être compromise^{Notes de bas de page 3}.