Vandaag schrijft het Digital Threat Analysis Center (DTAC) van Microsoft een recente beïnvloedingsoperatie toe aan een Iraanse nation-state actor, gericht op het satirische Franse tijdschrift Charlie Hebdo. Microsoft noemt deze actor NEPTUNIUM, die ook door het Amerikaanse ministerie van Justitie is geïdentificeerd als Emennet Pasargad.
Begin januari claimde een tot dan toe onbekende onlinegroep die zichzelf ‘Holy Souls’ noemde, en die we nu kunnen identificeren als NEPTUNIUM, de persoonlijke gegevens te hebben verkregen van meer dan 200.000 klanten van Charlie Hebdo, nadat het ‘toegang had verkregen tot een database.’ Als bewijs gaf Holy Souls een sample van de gegevens vrij: een spreadsheet met volledige namen, telefoonnummers, huis- en e-mailadressen van accounts die zijn geabonneerd op het tijdschrift of er merchandise van hebben gekocht. Met deze informatie, verkregen door de Iraanse actor, liepen de abonnees het risico dat ze online of fysiek het doelwit zouden worden van extremistische organisaties.
We geloven dat de aanval een reactie is van de Iraanse overheid op een cartoonwedstrijd die is georganiseerd door Charlie Hebdo. Een maand voordat Holy Souls de aanval uitvoerde, deed het tijdschrift de aankondiging dat het een internationale wedstrijd zou organiseren voor cartoons die Ali Khamenei, de hoogste leider van Iran, 'bespotten'. De editie met de winnende cartoons werd begin januari gepubliceerd, gepland om samen te vallen met de achtste gedenkdag van een aanval op de kantoren van het tijdschrift door twee aanvallers van Al Qa'ida op het Arabisch Schiereiland (AQAS).
Holy Souls zette de cache met gegevens te koop voor 20 BTC (op dat moment gelijk aan ongeveer USD 340.000). De vrijgave van de volledige hoeveelheid gestolen gegevens – ervan uitgaande dat de hackers de gegevens die ze beweren te hebben ook echt bezitten – zou in feite neerkomen op het massaal doxen van de lezers van een tijdschrift dat al eerder te maken had met extremistische dreigingen (2020) en dodelijke terreuraanvallen (2015). Uit vrees dat de vermeende gestolen klantgegevens zouden worden afgedaan als verzonnen, was de belangrijke Franse krant Le Monde in staat om te verifiëren 'met meerdere slachtoffers van dit lek' dat het voorbeelddocument van Holy Souls echt was.
Nadat Holy Souls de voorbeeldgegevens had gepost op YouTube en op meerdere hackersforums, werd het lek versterkt door een gecoördineerde operatie op meerdere socialemediaplatformen. Deze versterkingsinspanning maakte gebruik van een specifieke set beïnvloedingstactieken, -technieken en -procedures (TTP's) die DTAC eerder heeft waargenomen in Iraanse beïnvloedingsoperaties met hacken en lekken.
De aanval viel samen met kritiek op de cartoons vanuit de Iraanse overheid. Op 4 januari tweette Hossein Amir-Abdollahian, de minister van Buitenlandse Zaken van Iran: 'De beledigende en onbeleefde actie van het Franse tijdschrift [...] tegen de religieuze en politiek-spirituele autoriteit [...] blijft niet onbeantwoord.' Diezelfde dag riep het Iraanse ministerie van Buitenlandse Zaken de Franse ambassadeur in Iran op het matje vanwege de ‘belediging’ door Charlie Hebdo. Op 5 januari sloot Iran het Franse Instituut voor Onderzoek in Iran en noemde het Iraanse ministerie van Buitenlandse Zaken dat een ‘eerste stap’, met de mededeling dat het de zaak ‘serieus zou opvolgen en de nodige maatregelen zou nemen’.
Volg Microsoft Beveiliging