Il est extrêmement facile de simuler des e-mails. Si quelqu'un a simulé cela, je ne vois pas comment l'agence en serait informée. Le problème est que le lien qu'ils vous ont envoyé était l'attaque elle-même. Par exemple, il peut s'agir d'une attaque CSRF:

Avec un peu d'aide d'ingénierie sociale ( comme l'envoi d'un lien par e-mail ou chat), un attaquant peut inciter les utilisateurs d'une application Web à exécuter les actions de son choix.

Une suggestion est de contacter le bureau et de savoir si c'est quelque chose qu'ils font. Juste parce que la langue semble correcte et dit qu'elle vient du bon expéditeur ne signifie rien. C'est une approche courante utilisée dans les e-mails de phishing.

Une tâche du CERT ( Computer Emergency Response Team) est précisément de surveiller les problèmes de sécurité des actifs sous leur circonscription.

Dans le cas des CERT nationaux comme le CERT- AU, ils se soucient souvent de tout ce qui est hébergé sur leur pays, et s'ils sont informés d'un problème, leur tâche serait de contacter le propriétaire concerné afin qu'il puisse résoudre le problème (comme ils l'ont fait dans ce cas). Ils auraient également pu vous fournir des conseils au cas où vous en auriez eu besoin pour trouver le problème.

Ces services sont gratuits pour les gens (il s'agit d'une agence gouvernementale), et ils ne vous en demanderont pas type de paiement pour vous avoir notifié.

Une liste complète des services CERT-AU est disponible sur https://cert.gov.au/services

La manière de vous fournir l'url sous la forme hXXp: //domaine.com [.] Au / s.htm est une manière assez courante de partager des URL malveillantes. L'objectif est que vous receviez l'URL (dont vous aurez besoin pour savoir où se trouve le contenu malveillant) mais en même temps minimisiez le risque que vous puissiez l'ouvrir par inadvertance dans le mauvais environnement ou avant de lire l'e-mail dans son intégralité ( en outre, cela permet également d'éviter les filtres de messagerie qui suppriment les e-mails contenant des URL malveillantes¹).

Il existe de nombreuses sources à partir desquelles ils ont pu avoir connaissance de cet incident:

• Un individu l'a notifié
• Un autre CERT ou une société de sécurité l'a notifié
• Il est apparu sur une liste de sites compromis auxquels il s'est abonné
• Il est apparu sur un forum de dégradation qu'ils regardaient (comme zone-h)
• Ils l'ont trouvé en effectuant une autre enquête

Parmi les avantages de l'envoi les notifications via le CERT sont:

• Lorsqu'il y a plusieurs sites compromis, il est beaucoup plus facile de notifier une seule entité par pays qu'à chaque opérateur de site Web website
• Le CERT aura souvent une procédure pour réessayer au cas où il serait ignoré par l'administrateur. Un tiers ne tentera probablement qu'une seule fois.
• Le CERT peut avoir de meilleurs contacts auxquels envoyer la notification.
• En tant que partie neutre, le CERT est plus susceptible de faire l'objet d'une attention particulière to²
• Pas de barrière linguistique: le CERT doit pouvoir contacter le propriétaire du site dans sa langue maternelle.
• Le CERT aura des techniciens capables de comprendre facilement le problème et capables de expliquez cela, si nécessaire, au propriétaire du site Web (qui peut n'avoir aucune connaissance lui-même).

Une liste des CERT mondiaux (publics et privés) est disponible en premier: https://first.org/members/teams

Une base de données des CERT européens et des équipes de sécurité est également disponible sur Trusted Introducer.

¹ Par exemple, Google trouve chaque jour des tas d'URL malveillantes qu'il trouve lors de leur exploration, au lieu de tenter de les signaler directement au propriétaire, il les partage avec les CERT national pour qu'il s'occupe de la notification.

² Imaginez simplement que cette question soit «un type aléatoire d'une adresse hotmail a envoyé notre administrateur…»

À moins qu'il ne vous le dise dans la lettre, il n'y a aucun moyen de savoir comment ils ont été informés du piratage. Il y a de fortes chances que quelqu'un ait signalé un problème, une attaque ou une sonde quelconque au CERT, et qu'il ait ensuite pu retracer l'origine du dos jusqu'à l'adresse IP de votre serveur.

Je vous recommande au moins de continuer votre enquête; mais pensez à engager une entreprise de sécurité. Il y a beaucoup à faire à ce stade d'une attaque en plus de comprendre ce qui s'est passé. Vous devrez peut-être conserver des preuves, vous devrez récupérer vos systèmes, vous devrez peut-être fournir des notifications de violation, vous devrez peut-être votre clientèle pour changer ses mots de passe; toutes sortes d'activités peuvent découler d'une violation, et un professionnel vous guidera à travers tout cela.

Sans voir les en-têtes des e-mails, nous n’avons aucun moyen d’en être sûrs, mais il semble semble plus probable que l’avis d’e-mail soit un hameçonnage, comme Jimmy James le dit ci-dessus. Il est beaucoup plus facile pour l'attaquant qui y a placé le fichier de le savoir et de vous le «signaler» «officiellement» pour vous faire cliquer dessus. CSRF semble être la tentative la plus probable en cours. L'attaquant n'a aucun moyen de savoir que la personne à qui il l'a envoyé n'avait pas d'informations d'identification sur le site, mais comme vous l'avez souligné, il vous a utilement transmis l'e-mail, qui le fait. Je ne dis pas que cela a réussi, mais la réponse à "Comment ont-ils su" semble être le plus probable: "Ils ne l'ont pas fait et la notification a été falsifiée."

Ce serait un bon moyen d'hameçonner quelqu'un lorsque vous pourriez pirater "un peu" son site.

Il suffit d'écrire un fichier inoffensif sur son serveur, puis de le contacter et d'engager une conversation avec son gouvernement "Technologie". À ce moment-là, si vous n'êtes pas suspect, ils pourraient probablement vous demander de faire n'importe quoi et vous le feriez simplement.

Je me rends compte que vous n'avez pas dit qu'ils vous ont demandé de les contacter ou quoi que ce soit, alors peut-être non, mais j'aime toujours me tromper du côté de la paranoïa.

Que fait ce site Web? Héberge-t-il des comptes ou accepte-t-il les cartes de crédit?

Le fichier doit être considéré comme un signe clair que vous avez effectivement été compromis. Vous ne connaissez pas l'étendue ou le vecteur de l'attaque, mais le fichier peut bien être un "indicateur" qu'un bot recherche pour déterminer que le serveur est toujours compromis.

Donc, assurez-vous de conserver des sauvegardes et conserver les horodatages, les journaux du serveur Web et les sauvegardes elles-mêmes. Revenez à votre sauvegarde la plus ancienne et voyez si le fichier est là, comparez également le contenu du site avec le contenu attendu.

Recherchez également dans vos journaux les requêtes adressées au fichier s.htm . Vous pouvez trouver un réseau de robots qui vérifie occasionnellement que les lumières sont allumées. Il y a une chance étrange que vous puissiez utiliser les informations IP que vous y trouvez pour rechercher un autre trafic - ce qui peut découvrir les traces de l'attaque.

En attendant, contactez l'expéditeur de l'e-mail - soyez assurez-vous de rechercher leurs coordonnées à partir d'une source officielle et non de l'e-mail lui-même. J'ai reçu des notifications similaires de la part de fournisseurs d'hébergement, ils peuvent également rechercher le fichier s'il est connu pour indiquer une machine compromise.

Je pense vraiment que c'est une attaque de phishing.

Cependant, il est également possible pour les agences CERT d'obtenir une liste de sites piratés via des miroirs de déformation, tels que Zone-H. Mais je ne vois pas pourquoi ils le feraient.