Qu'est-ce qu'un « beg bounty » ? Éviter les paiements liés aux vulnérabilités DMARC

Chaque entreprise a des vulnérabilités, et la surface d'attaque des grandes organisations et entreprises est vaste. Dans un monde idéal, vous seriez en mesure de détecter, atténuer, éliminer et sécuriser vous-même chacune de ces vulnérabilités. Mais dans l'ère en constante évolution du numérique, ce n'est simplement pas réalisable. C'est là qu'interviennent les programmes de divulgation responsable et de bug bounty. Ils donnent aux organisations un aperçu des vulnérabilités potentielles, tandis que les chasseurs de bug bounty (souvent des hackers éthiques zélés et des chercheurs en sécurité passionnés) gagnent également quelques dollars.

Les programmes de bug bounty et de divulgation responsable sont importants pour maintenir la sécurité et atténuer les nombreuses vulnérabilités dans l'armure des organisations mondiales. Mais comme pour la plupart des choses, là où il y a des opportunités d'en profiter, certaines personnes le feront. Effectivement, nous parlons de la tendance de plus en plus gênante de la « chasse aux beg bounties », où des « mendiants de bounty » aptement nommés font remonter des problèmes facilement détectables aux organisations dans l'espoir de gagner rapidement de l'argent.

Alors, comment les entreprises peuvent-elles éviter de tomber dans le piège des beg bounties ? Une façon consiste à mettre en œuvre DMARC en p=reject par défaut, atténuant ainsi définitivement leur vulnérabilité DMARC. DMARC (Domain-Based Message Authentication, Reporting, and Conformance) est crucial pour la sécurité organisationnelle, et avec les bons outils, c'est beaucoup plus facile à mettre en œuvre que vous ne le pensez.

Un programme de divulgation responsable (parfois appelé programme de divulgation de vulnérabilités ou programme de bug bounty) est essentiellement un accord qu'une organisation conclut avec des chercheurs en sécurité (chasseurs de bug bounty), les compensant s'ils trouvent des vulnérabilités au sein de leurs sites web, systèmes, plateformes ou surface d'attaque plus large.

La divulgation responsable n'est pas nouvelle. Depuis ses débuts en 1983, plus de 181 000 vulnérabilités ont été signalées, et une somme considérable de 100 millions de dollars a été versée en salaires aux chasseurs de bug bounty. En essence, la divulgation responsable est gagnant-gagnant : les organisations peuvent corriger discrètement les vulnérabilités rapidement, et les chasseurs de bug bounty sont équitablement récompensés. Les entreprises technologiques les plus en vue ont des programmes de divulgation responsable, notamment Mozilla, Facebook, Yahoo, Google, Reddit et Microsoft.

La plupart des entreprises auront une politique de divulgation de vulnérabilités en place, avec un ensemble spécifique de règles ou d'accords que les chasseurs de bug bounty doivent respecter. Le NCSC (National Cyber Security Centre) propose une boîte à outils utile de découverte de vulnérabilités pour les entreprises ici.

Un beg bounty est un terme utilisé pour décrire la mise en évidence d'un problème facilement détectable par un « mendiant de bounty ». Ceux-ci ne sont pas jugés dignes de paiement, soit parce qu'il ne s'agit pas d'une vulnérabilité légitime, soit parce qu'ils sont considérés comme un problème qui aurait pu être facilement détecté par l'entreprise elle-même. Parfois, les mendiants de bounty demandent également un paiement avant d'exposer le prétendu « bug ». Des exemples de beg bounties incluent des enregistrements DMARC défectueux, des enregistrements SPF défectueux, ou une CSP manquante.

Les enregistrements DMARC manquants sont considérés comme des beg bounties. Les raisons de cela vont du fait que DMARC est facilement détectable, à l'idée qu'il n'est pas important, trop complexe à mettre en œuvre, et même la croyance erronée que DMARC est synonyme de SPF et DKIM – ce qui n'est pas le cas.

Bien que nous soyons d'accord que les entreprises ne devraient pas payer pour des beg bounties DMARC, nous estimons également qu'en écartant DMARC comme « sans importance », les professionnels de la sécurité et de l'informatique manquent une opportunité. Bien que DMARC ne soit pas spécifiquement une vulnérabilité de site web ou un « bug », le fait de ne pas l'avoir entièrement configuré rend votre domaine – et votre organisation – extrêmement vulnérable aux attaques d'usurpation d'identité et de phishing, telles que le BEC.

• Le phishing représente 90 % de toutes les violations de données, avec 65 % des cyberattaquants utilisant le spear phishing comme vecteur d'infection principal.
• Le BEC a représenté environ 2,4 milliards de dollars USD de pertes signalées – en hausse de 28 % depuis 2020.
• Les attaques d'usurpation d'identité ont été nommées comme étant les deuxièmes plus perturbatrices pour une entreprise par l'enquête sur les violations de cybersécurité du gouvernement britannique en 2021.

Ne pas avoir d'enregistrement DMARC (ou avoir un enregistrement en none/quarantine) signifie que vous êtes vulnérable à l'usurpation d'identité. C'est un protocole qui devrait être fondamental pour votre sécurité e-mail et votre infrastructure de domaine, et les organisations devraient le sécuriser par défaut.

DMARC est un protocole reconnu mondialement qui, lorsqu'il est correctement configuré en p=reject, empêche les acteurs malveillants d'usurper (spoofer) votre domaine pour envoyer des e-mails de phishing et mener des attaques de phishing et d'usurpation d'identité, telles que la compromission de messagerie d'entreprise (BEC).

Souvent combinés avec l'ingénierie sociale, les e-mails usurpés sont incroyablement difficiles à détecter. Après tout, pourquoi ne feriez-vous pas confiance à un e-mail bien conçu et personnalisé s'il provient exactement du domaine de votre organisation ? C'est pour cette raison que ne pas mettre en œuvre une politique DMARC solide est l'une des plus grandes erreurs qu'une entreprise puisse commettre, car cela laisse votre domaine ouvert aux attaquants pour le détourner et envoyer des e-mails de phishing ciblant vos employés, vos clients et l'ensemble de votre chaîne d'approvisionnement.

En utilisant les données de BIMI Radar de Red Sift, qui couvre 64 millions de domaines apex, nous avons constaté que la vulnérabilité DMARC dans le monde est élevée. Sur la base des données de plus de 64 millions de domaines apex :

• Seulement 2,1 % ont DMARC en application, ce qui signifie que 97,9 % sont à risque d'attaques d'usurpation d'identité.
• Sur 2 380 domaines appartenant aux plus grandes entreprises cotées en bourse dans les plus grandes économies du monde, 70,5 % ne sont pas protégés par DMARC.
• 51 % des entreprises publiques aux États-Unis, mesurées par le Fortune 500, n'ont pas de politique DMARC adéquate en place.

Les enregistrements SPF et DKIM sont importants, mais les avoir correctement configurés ne suffit pas lorsqu'il s'agit d'améliorer votre vulnérabilité DMARC et d'arrêter l'usurpation de domaine. Votre enregistrement DMARC combine les signaux de ceux-ci et donne des instructions aux serveurs récepteurs, leur indiquant quoi faire des e-mails provenant de votre domaine qui ne passent pas l'authentification. Cela ne peut se produire que lorsque DMARC est en p=reject.

DMARC est le pain quotidien de la sécurité des e-mails et des domaines, la première couche de protection fondamentale pour l'un de vos actifs numériques les plus précieux et vulnérables : votre domaine. Il est prêt et attend de sécuriser votre vecteur de menace le plus sensible (l'e-mail) et, par conséquent, de protéger l'ensemble de votre organisation.

Le produit phare de Red Sift, OnDMARC, aide les organisations du monde entier à atteindre p=reject rapidement, facilement et de manière fiable. Pourquoi ne pas commencer dès aujourd'hui à sécuriser votre vulnérabilité DMARC avec un essai gratuit d'OnDMARC ?