Il n’y a rien se méfie immédiatement de la page LinkedIn de Camille Lons. La photo de profil de la chercheuse en politique et sécurité montre qu’elle donne une conférence. Son réseau professionnel est composé de près de 400 personnes ; elle a une histoire de carrière détaillée et une biographie. Lons a également partagé un lien vers une récente apparition en podcast – “toujours profiter de ces conversations” – et a aimé les messages de diplomates du Moyen-Orient.
Ainsi, lorsque Lons a pris contact avec la journaliste indépendante Anahita Saymidinova à l’automne dernier, son offre de travail semblait authentique. Ils ont échangé des messages sur LinkedIn avant que Lons ne demande à partager plus de détails sur un projet sur lequel elle travaillait par e-mail. “Je viens d’envoyer un e-mail dans votre boîte de réception”, a-t-elle écrit.
Ce que Saymidinova ne savait pas à l’époque, c’est que la personne qui lui envoyait des messages n’était pas du tout Lons. Saymidinova, qui travaille pour Iran International, un média en langue persane qui a été harcelé et menacé par des responsables du gouvernement iranien, était la cible d’un acteur soutenu par l’État. Le compte était un imposteur que les chercheurs ont depuis lié au groupe de piratage iranien Charming Kitten. (La vraie Camille Lons est une chercheuse en politique et en sécurité, et un profil LinkedIn avec des coordonnées vérifiées existe depuis 2014. La vraie Lons n’a pas répondu aux demandes de commentaires de WIRED.)
Lorsque le faux compte a envoyé un e-mail à Saymidinova, ses soupçons ont été soulevés par un PDF indiquant que le département d’État américain avait fourni 500 000 dollars pour financer un projet de recherche. “Quand j’ai vu le budget, il était tellement irréaliste”, dit Saymidinova.
Mais les attaquants ont persisté et ont demandé au journaliste de se joindre à un appel Zoom pour discuter plus avant de la proposition, ainsi que d’envoyer des liens à examiner. Saymidinova, maintenant en état d’alerte maximale, dit qu’elle a parlé de l’approche à un membre du personnel informatique d’Iran International et qu’elle a cessé de répondre. “Il était très clair qu’ils voulaient pirater mon ordinateur”, dit-elle. Amin Sabeti, le fondateur de Certfa Lab, une organisation de sécurité qui étudie les menaces iraniennes, a analysé le comportement et la correspondance du faux profil avec Saymidinova et a déclaré que l’incident imitait étroitement d’autres approches sur LinkedIn de Charming Kitten.
L’incident de Lons, qui n’a pas été signalé auparavant, est à la fin la plus obscure du problème de LinkedIn avec les faux comptes. Des groupes sophistiqués soutenus par l’État d’Iran, de Corée du Nord, de Russie et de Chine utilisent régulièrement LinkedIn pour se connecter avec des cibles dans le but de voler des informations par le biais d’escroqueries par hameçonnage ou en utilisant des logiciels malveillants. L’épisode met en lumière la bataille en cours de LinkedIn contre le “comportement inauthentique”, qui comprend tout, du spam irritant à l’espionnage louche.
Liens manquants
LinkedIn est un outil extrêmement précieux pour la recherche, le réseautage et la recherche d’emploi. Mais la quantité d’informations personnelles que les gens partagent sur LinkedIn – de l’emplacement et des langues parlées aux antécédents professionnels et aux relations professionnelles – le rend idéal pour l’espionnage parrainé par l’État et les programmes de marketing étranges. Les faux comptes sont souvent utilisés pour colporter de la crypto-monnaie, inciter les gens à participer à des programmes de réexpédition et voler des identités.
Sabeti, qui analyse les profils de Charming Kitten sur LinkedIn depuis 2019, affirme que le groupe a une stratégie claire pour la plateforme. “Avant d’engager la conversation, ils savent qui ils contactent, ils connaissent tous les détails”, explique Sabeti. Dans un cas, les attaquants sont allés jusqu’à héberger un appel Zoom avec quelqu’un qu’ils ciblaient et ont utilisé des images statiques du scientifique qu’ils se faisaient passer pour.
