Résumé
Okta Threat Intelligence (OTI) a récemment franchi une étape importante : nous avons envoyé notre 10 000e notification de domaine suspect à un client.
Je souhaitais marquer ce moment en expliquant comment et pourquoi nous accomplissons ce travail essentiel.
Je souhaite également partager certaines recherches que nous avons menées afin de démontrer à quel point ces notifications sont uniques. La grande majorité (plus de 80 %) des indicateurs de compromission que nous identifions et partageons dans ces notifications destinées aux clients n’étaient pas signalés comme suspects par d’autres prestataires de services à ce moment-là.
Pourquoi nous faisons toujours plus d’efforts
La vision d’Okta est de permettre à chacun d’utiliser n’importe quelle technologie en toute sécurité, et OTI contribue activement à la réalisation de cet objectif. Okta est le plus grand fournisseur d’identité indépendant au monde et nous prenons très au sérieux les responsabilités qui accompagnent ce statut.
OTI est une équipe pluridisciplinaire de spécialistes de la sécurité, dédiée à la recherche, à la surveillance et à la réduction des menaces. Nous offrons des analyses, des conseils d’experts et un accompagnement à nos clients ainsi qu’à l’ensemble de la communauté.
Chaque minute de chaque jour, des cybercriminels du monde entier cherchent à attaquer des entreprises opérant dans des secteurs à haut risque. Leurs motivations sont très diverses, allant du gain financier à l’espionnage commandité par des États. En tant que fournisseur d’identité privilégié par certaines des organisations les plus sécurisées et sensibles au monde, Okta se trouve dans une position idéale pour détecter, suivre et atténuer les menaces centrées sur l’identité.
Nos enquêtes commencent généralement par le suivi de l’infrastructure Internet que les cybercriminels mettent en place dans le cadre de campagnes plus larges visant à manipuler les utilisateurs par social engineering. Nous bénéficions également d’informations et d’alertes provenant de nos clients et d’entreprises semblables, en partageant et en recevant des renseignements afin de développer une compréhension collective des menaces. Aucune organisation ne peut y parvenir seule. Chacune et chacun détient une partie de la vision d’ensemble sur la façon dont les cybercriminels opèrent, et il est essentiel de partager ces informations.
Nos enquêtes publiées sur de nouveaux panneaux de phishing contrôlés par des opérateurs, tels que Work Panel, et sur des plateformes de phishing AitM comme VoidProxy, illustrent parfaitement comment notre travail ne s’est pas limité à recenser l’infrastructure des attaquants, mais a également permis d’expliquer au plus grand nombre le fonctionnement de ces menaces.
Notifications de sécurité
La plupart de nos notifications d’activité suspecte concernent une activité suspecte sur un domaine ou sur un compte utilisateur.
Activité suspecte sur le domaine
Nous envoyons des notifications d’activité suspecte sur des domaines lorsque nous identifions des enregistrement de nom de domaines ou des configurations d’infrastructure qui, selon notre évaluation, indiquent avec certitude une intention de cibler une organisation protégée par Okta. Nous surveillons de nombreuses sources de renseignements ouvertes et commerciales, en plus de la télémétrie de notre propre plateforme, afin de suivre les nouvelles infrastructures lorsque des cybercriminels se préparent à lancer des campagnes. Lorsque toutes les conditions sont réunies, nous pouvons avertir les clients à l’avance avant le lancement d’une campagne.
Parfois, le lien entre un domaine ou un sous-domaine est explicite. Dans d’autres cas, le lien avec une organisation cliente est plus subtil, comme du contenu visible sur le site ou intégré dans le DOM de la page de phishing. Dans la mesure du possible, nous fournissons des liens vers les résultats URLScan d’une page afin que l’équipe sécurité du client puisse analyser le site par elle-même.
Activité suspecte sur le compte
Nous envoyons une notification distincte si Okta Threat Intelligence identifie une interaction d’un utilisateur avec une infrastructure que nous associons à des cybercriminels. L’utilisation du terme « suspect » est très réfléchie : notre visibilité sur ce qui est considéré comme suspect dans l’environnement d’un client reste limitée. Cela dit, les retours des clients recueillis sur plusieurs années ont renforcé la conviction que ces notifications ont un impact concret, qu’il s’agisse du premier signal déclenchant une enquête ou d’un indicateur supplémentaire venant éclairer une réponse en cours à un incident. Nos clients nous disent souvent que notre système d’alerte précoce leur a permis d’agir avant qu’un cybercriminel ne puisse causer des dommages. Rien ne fait plus plaisir à notre équipe !
Ces notifications parviennent aux clients via leurs contacts principaux pour la sécurité, un rôle que les clients peuvent définir dans Okta Support Center. Ces e-mails fournissent des renseignements exploitables, des indicateurs de compromission (IoC) et des recommandations permettant à une équipe sécurité ou identité de se protéger et d’enquêter sur des activités suspectes. Lorsque cela est possible, nous proposons un lien vers des avis de menace fournissant davantage de détails sur le cybercriminel, la campagne ou les TTP concernés.
Une source d’informations unique
Une question qui nous est souvent posée concerne la raison pour laquelle nous considérons que les indicateurs que nous identifions sont malveillants, alors que les domaines et adresses IP ne sont souvent pas signalés comme tels dans VirusTotal, une plateforme de Threat Intelligence reconnue qui s’appuie sur un large éventail de fournisseurs de Threat Intelligence et de sécurité.
Tous les indicateurs identifiés et suivis par OTI sont repérés dans le cadre de nos propres enquêtes sur les menaces et de nos recherches. Nous réalisons cette analyse en continu, en identifiant et en suivant les groupes d’activités malveillantes à mesure qu’ils apparaissent. Le résultat est un flux unique de Threat Intelligence axé sur l’identité.
Nous avons récemment mené une analyse sur le caractère unique de nos IoC par rapport aux données disponibles à leur sujet dans VirusTotal. Nous souhaitions savoir quelle part des indicateurs que nous avions identifiés étaient déjà signalés comme malveillants dans VirusTotal au moment où nous avons informé les clients.
Les résultats étaient frappants : 83 % des indicateurs que nous avons confirmés comme malveillants n’avaient été détectés nulle part ailleurs auparavant. Parmi les personnes restantes, 14 % disposaient d’une à quatre sources seulement, et seulement 3 % en avaient plus de quatre.
Les indicateurs identifiés par nos chercheurs sont intégrés à Okta Identity Threat Protection (ITP), offrant ainsi aux clients d’Okta la possibilité de définir des corrections en temps réel (création de tickets pour le SOC, réinitialisation des mots de passe, révocation des sessions, etc.) lors des interactions des utilisateurs et utilisatrices avec des infrastructures malveillantes connues.
Mais nous ne nous arrêtons pas là. La sécurité de chaque client d’Okta compte pour nous. Nous informons les contacts principaux en charge de la sécurité de tout client d’Okta que nous voyons ciblé, ou pour lequel nous avons des raisons de penser que des cybercriminels se préparent à lancer une attaque, quel que soit le produit Okta acquis. Nous avons envoyé 736 de ces notifications rien qu’en juillet 2026.
Nous sommes là pour vous aider
À l’instar de nombreux grands fournisseurs de plateformes dans le monde, Okta définit un modèle de responsabilité partagée afin de clarifier la répartition des responsabilités en matière de sécurité entre l’entreprise et ses clients. Nous sommes responsables de la sécurité de la plateforme Okta, tandis que nos clients sont responsables de la sécurité de leurs organisations (tenants).
Nos notifications proactives s’approchent de cette limite, mais nous estimons ne pas la franchir totalement. Ces détections présentent un taux élevé de vrais positifs et ont permis de neutraliser directement des menaces visant un grand nombre de clientes et clients au cours des cinq dernières années, ce dont nous sommes particulièrement fiers.
Et même si nous ne pouvons pas toujours révéler la méthodologie utilisée pour suivre ces cybercriminels, sachez que si vous recevez l’une de nos notifications d’activité suspecte, c’est le résultat du travail rigoureux d’une équipe de personnes mobilisées pour protéger ce qui compte le plus pour Okta : nos clients.
Daniel Lopez a contribué à cette recherche.
