Un homme du Michigan âgé de 27 ans, qui a tenté de pirater une carte “chance” pour faire sortir de prison son ami, va maintenant se retrouver lui-même en prison pendant 87 mois, à savoir 7 ans et 3 mois.
Jeudi, le bureau du procureur américain Matthew Schneider a annoncé qu’en plus de la peine d’emprisonnement assortie de 3 ans de liberté surveillée, Konrads Voits abandonne tous ses bitcoins, certains de ses appareils électroniques, y compris un ordinateur portable, un composant à base de circuits intégrés et plusieurs téléphones portables.
Au total, Voits a été condamné à verser un dédommagement d’un montant de 238 517$ (environ 200 000€).
Cette somme sera versée au comté de Washtenaw, dont le réseau pénitencier a été piraté par Voits, qui a tenté de modifier le dossier numérique de son ami. En décembre, Voits a plaidé coupable d’avoir endommagé un ordinateur protégé.
Le bureau du procureur général a déclaré que Voits avait utilisé un schéma classique de phishing via typosquatting. Selon son plaider coupable, en janvier 2017, Voits a mis en place un domaine dédié au phishing. Il ressemblait à un nom de domaine officiel du comté de Washtenaw, sauf que Voits avait remplacé le W à la fin par un double V.
Ensuite, il a appelé et envoyé des emails aux employés du comté de Washtenaw, affirmant qu’il était “Daniel Greene” et qu’il avait besoin d’aide pour des dossiers judiciaires. Au téléphone, il a prétendu être “T.L.” ou “A.B.”, un responsable informatique du comté. Les emails tentaient d’inciter les employés à cliquer sur un lien hypertexte afin d’être redirigés vers le site de phishing de Voits. Quant aux appels téléphoniques, le but était d’amener ses victimes à saisir le nom de domaine du site de phishing dans leurs navigateurs afin de télécharger un fichier malveillant exécutable.
C’était pour “améliorer le système informatique de la prison du comté”, a déclaré Voits.
Voits a tapé dans le mille quand il a appelé les employés de la prison du comté, se faisant passer pour un membre du personnel informatique de la prison, incitant ainsi les employés en question à installer un faux pack de mise à jour à la soi-disant demande de la prison du comté.
Voits a eu un accès complet au réseau du comté, y compris au système XJail qui est un programme utilisé pour surveiller et suivre les détenus des prisons de ce dernier, ainsi que les affidavits des mandats de perquisition, les dossiers disciplinaires internes et les renseignements personnels des employés du comté. Voits a réussi à voler des mots de passe, noms d’utilisateur, adresses email et des données personnelles de plus de 1600 employés du comté.
Une fois qu’il a eu un accès complet au réseau du comté, il a consulté les dossiers électroniques de plusieurs détenus et a modifié le dossier numérique d’au moins un d’entre eux pour essayer de le faire sortir plus tôt.
Selon le plaider coupable, le nettoyage après l’intrusion de Voits a été affreux et coûteux. Le comté a dû embaucher une société d’intervention spécialisée pour évaluer l’étendue des dommages qu’il a causés, reconfigurer de nombreux disques durs, vérifier l’exactitude des dossiers électroniques de presque tous les détenus actuels et acheter une protection contre le vol d’identité pour les 1600 employés dont les données avaient été récupérées par Voits.
L’AP a signalé que le plan de Voits avait été déjoué par un employé qui a vérifié les dossiers manuellement. Le bureau du procureur général n’a pas donné de détails au-delà du fait que les responsables informatiques du comté ont réagi rapidement.
En conséquence, le plan de Voits a échoué : personne n’a été libéré plus tôt que prévu, bien que les employés de la prison et les responsables informatiques du comté aient dû faire des heures supplémentaires pour enquêter et nettoyer les dégâts causés.
Billet inspiré de The hacker who broke into jail and had to stay for 7 years, sur Sophos nakedsecurity.