Attaque par spear phishing du groupe APT41

Présentation générale de l'attaque

Le groupe APT41, aussi connu sous les noms Winnti Group, Barium, ou Axiom, est un groupe de cybermenace soutenu par l'État chinois. En octobre 2024, une campagne à base de spear phishing a été détectée par le GTIG (Google Threat Intelligence Group’s) où les attaquants exploitaient Google Calendar comme canal de commande et de contrôle (C2).

Chaîne d'infection

La campagne débutait par un e-mail de phishing contenant une archive ZIP hébergée sur un site gouvernemental compromis. Cette archive comprenait :

• Un fichier LNK (lien) déguisé en PDF
• Deux fichiers images .jpg (chargeur du malware TOUGHPROGRESS et DLL malveillante)

Le clic sur le fichier déclenchait l’infection tout en affichant un document PDF factice.

Fonctionnement du malware TOUGHPROGRESS

Le malware est structuré en trois modules principaux :

1. Module d’initialisation : Vérifie l’environnement cible.
2. Module de persistance : Utilise l’API Google Calendar pour les communications C2.
3. Module final : Exécute des fonctions d’espionnage et de vol de données.

Ce mode opératoire permet de contourner efficacement les systèmes de détection traditionnels tels que les antivirus, la communication du malware avec l'extérieur s'effectuant au travers de commandes Google Calendar.

Secteurs ciblés

Les attaques ont visé des institutions et entreprises dans les domaines suivants :

• Gouvernements
• Technologie
• Logistique
• Médias
• Industrie automobile

Les opérations se sont étendues à l’échelle mondiale, notamment en Asie, en Europe et en Amérique du Nord.

Réponse de Google et leçons à tirer

Google a interrompu l'opération en bloquant l'infrastructure et en renforçant ses outils de protection, notamment Safe Browsing. Cette campagne illustre l’importance croissante de surveiller les usages détournés des services cloud dans les menaces modernes.

Le rapport technique de Google est disponible en anglais ici

Lire la suite

Le botnet AyySSHus compromet 9000 routeurs ASUS

Résumé de la campagne impactant les routeurs ASUS.

En mars 2025, GreyNoise, entreprise spécialisée dans l’analyse de la sécurité réseau, a découvert une campagne d’attaque d’une sophistication rare visant les routeurs ASUS exposés sur internet. Cette campagne, révélée publiquement le 28 mai 2025, a suscité une attention particulière dans le monde de la cybersécurité, en raison de la discrétion avec laquelle elle a été menée et de l’ampleur potentielle des dispositifs compromis. En effet 9000 routeurs ASUS ont été compromis par le botnet.

Tout commence le 17 mars 2025, lorsque Sift, une plateforme de surveillance réseau exploitant l’intelligence artificielle développée par GreyNoise, identifie une série de comportements anormaux dans les requêtes HTTP provenant de routeurs ASUS. Ces anomalies n’étaient pas identifiées comme malveillantes par les systèmes de détection traditionnels, mais elles alertent suffisamment les chercheurs pour initier une enquête approfondie dès le lendemain. Les jours qui suivent sont consacrés à une analyse minutieuse des schémas de communication, des ports utilisés, ainsi que des types de paquets échangés. Très vite, l’équipe de GreyNoise comprend qu’elle a affaire à une opération de grande envergure qui utilise des techniques d’attaque avancées, rarement vues dans des campagnes à aussi large échelle.

Ce n’est que le 22 mai 2025 que la société Sekoia, un autre acteur du secteur de la cybersécurité, publie un premier rapport attribuant l’attaque à une campagne baptisée "ViciousTrap". Elle évoque un usage malveillant de routeurs ASUS compromis pour potentiellement monter un réseau de bots (botnet) ou d’autres activités clandestines. GreyNoise attend encore quelques jours pour confirmer et compléter ses propres observations, qu’elle rend publiques le 28 mai.

Méthodologie d'attaque des assaillants.

La méthode utilisée dans cette campagne révèle un haut niveau de compétence technique. L’accès initial aux routeurs semble avoir été obtenu en exploitant une vulnérabilité connue mais pas toujours corrigée dans les firmwares des modèles ASUS concernés. Une fois l’accès acquis, les attaquants ne déposent aucun fichier malveillant classique sur l’appareil. C’est ce qui rend cette campagne particulièrement difficile à détecter. L’environnement de la mémoire système est modifié dynamiquement, parfois même à l’aide d’outils intégrés aux firmwares ASUS, pour injecter des charges utiles en mémoire vive, évitant ainsi l’écriture sur disque qui trahirait leur présence.

Les chercheurs ont identifié plusieurs adresses IP utilisées pour le commandement et le contrôle (C2), mais ces serveurs étaient changeants et souvent géographiquement dispersés, indiquant l’utilisation de proxys ou de services cloud compromis. L’analyse du trafic a aussi révélé que les attaquants avaient un contrôle très fin sur le rythme et la nature des communications avec les routeurs, ce qui leur permettait d’échapper aux détections par heuristique ou signature.

Un autre élément notable de la campagne est la persistance obtenue sans modification visible du système. Les assaillants ont utilisé des fonctions légitimes du système, comme la configuration automatique au redémarrage, pour garantir que leur accès ne serait pas révoqué après un simple reboot ou une mise à jour superficielle. Cette technique laisse peu de traces et rend les interventions de nettoyage particulièrement complexes. Les utilisateurs eux-mêmes n’ont souvent aucun indice d’une compromission : les performances restent normales, aucun message d’erreur ou comportement étrange ne trahit l’infection.

GreyNoise insiste sur le fait que cette opération n’était pas opportuniste, mais ciblée et planifiée. Les attaquants ont sélectionné un type précis de matériel exposé en ligne, démontrant ainsi une connaissance approfondie du paysage technologique des routeurs domestiques et professionnels. L’absence d’éléments habituels d’attaques en masse – comme des tentatives de ransomwares ou d’exfiltration de données en clair – suggère que le but de cette campagne était d’établir un réseau silencieux de dispositifs compromis pour des usages ultérieurs, probablement en lien avec l’espionnage ou des attaques coordonnées futures.

À l’heure actuelle, il est difficile d’attribuer cette attaque à un acteur précis. L’absence de code malveillant réutilisé, les infrastructures éphémères, et la stratégie d’effacement des traces rendent l’attribution complexe. Toutefois, le niveau d’expertise et les ressources mobilisées indiquent qu’il pourrait s’agir d’un groupe parrainé par un État ou d’un collectif cybercriminel de très haut niveau.

Recommandations de sécurité.

Pour les utilisateurs de routeurs ASUS, la situation est préoccupante mais pas désespérée. GreyNoise et d’autres entreprises de cybersécurité recommandent plusieurs mesures immédiates. D’abord, il est essentiel de vérifier que le firmware du routeur est à jour. ASUS a publié récemment des correctifs pour plusieurs modèles, en lien avec des vulnérabilités similaires à celles exploitées ici. Ensuite, il est recommandé de modifier les identifiants d’administration du routeur s’ils n’ont pas déjà été changés, afin d’éviter toute exploitation par accès brut. Il est aussi conseillé de désactiver l’accès à distance à l’interface d’administration, une fonction souvent activée par défaut et rarement utile dans un usage domestique. Enfin, il peut être judicieux de surveiller activement le trafic réseau émanant du routeur pour détecter des connexions vers des adresses IP inconnues ou suspectes.

Cette campagne soulève des questions plus larges sur la sécurité des appareils connectés à internet. Les routeurs, bien qu’essentiels à l’infrastructure numérique domestique et professionnelle, restent souvent les parents pauvres de la cybersécurité. Trop peu d’utilisateurs pensent à les mettre à jour régulièrement, et trop de fabricants tardent à publier des correctifs ou à fournir des interfaces de gestion accessibles et sécurisées. Les campagnes comme celle analysée par GreyNoise rappellent qu’un simple appareil exposé peut devenir une porte d’entrée pour des opérations à l’échelle mondiale.

Dans ses conclusions, GreyNoise insiste sur la nécessité d’une collaboration renforcée entre les fabricants de matériel, les chercheurs en cybersécurité, et les utilisateurs finaux. Sans action concertée, les campagnes comme "ViciousTrap" risquent de se multiplier, rendant l’espace numérique encore plus vulnérable. Si cette attaque n’a pas encore montré tous ses objectifs finaux, elle constitue déjà une alerte sérieuse sur l’état de la sécurité des infrastructures réseau personnelles.

Préconisations techniques.

Plus concrètement ASUS a déployé un correctif pour tous les routeurs ASUS RT-AX55 concernés. Vous pouvez également vérifier que le port TCP 53282 n'est pas ouvert sur votre routeur ; c'est par ce biais que le botnet AyySSHus s'invite. Enfin, vous pouvez interdire les adresses IP suivantes 101.99.91.151 ; 101.99.94.173 ; 79.141.163.179 ; 111.90.146.237 qui sont celles quele botnet utilise.

Pour plus de détails techniques et d’indicateurs de compromission (IoCs), le rapport technique est disponible sur le site de GreyNoise. Il inclut également des signatures de trafic, des adresses IP de serveurs suspects, et des recommandations spécifiques pour les analystes de sécurité.

Lire la suite

Méthode combinant SEA poisoning et phishing

SEA Poisoning + phishing : une méthode radicale

Cette méthode, documentée par Reliaquest le 20 mai 2025, met en lumière une attaque sophistiquée de type « SEA poisoning » ayant conduit à une fraude sur les salaires dans le secteur manufacturier aux États-Unis. Les cybercriminels ont créé de faux portails d'authentification, imitant ceux d'organisations légitimes, et les ont positionnés en tête des résultats de recherche pour piéger les employés. En ciblant principalement les appareils mobiles, souvent moins sécurisés que les postes de travail, les attaquants ont pu récolter des identifiants d'employés. Ces informations ont ensuite été utilisées pour accéder aux portails de paie et rediriger les salaires vers leurs propres comptes.

Il suffit d'un salarié un peu pressé qui utilise la recherche Google pour se connecter au portail DRH de l'entreprise et le piège se referme. Distrait, ledit salarié choisit les liens sponsorisés, pensant accéder au portail paye de son entreprise. Celui-ci est dupliqué à l'identique et permet d'extorquer les identifiants des salariés. Ceux-ci sont ensuite transmis aux cybercriminels qui changent les coordonnées bancaires des salariés et touchent les salaires en lieu et place des salariés.

Pour masquer leur activité, les attaquants ont exploité des routeurs domestiques compromis et des réseaux mobiles, rendant leur détection plus difficile. Ils ont également utilisé des services légitimes, comme Pusher, pour recevoir en temps réel les identifiants volés, accélérant ainsi le processus de fraude.

Les recommandations contre cette méthode radicale

ReliaQuest recommande aux organisations de renforcer la sécurité de leurs portails de paie en mettant en place une authentification multifacteur, des politiques d'accès conditionnel et en sensibilisant les employés à l'importance d'utiliser des méthodes d'authentification fiables, comme le single sign-on (SSO). Il est également conseillé de surveiller les modifications non autorisées des informations de dépôt direct et de rester vigilant face aux sites usurpant l'identité de l'entreprise.

Cette attaque souligne la nécessité pour les entreprises de toutes tailles de revoir et de renforcer leurs mesures de sécurité, en particulier celles liées aux accès hors réseau et aux appareils mobiles, afin de prévenir de telles intrusions. Très utile également : ne pas se connecter à un site internet qu'on pense légitime par les liens sponsoriésé.

Références :Méthode documentée par Reliaquest

Lire la suite

SEA Poisoning

SEA Poisoning : Quand la publicité sur les moteurs de recherche devient une menace

Le SEA poisoning, ou empoisonnement du référencement payant, est une technique malveillante encore méconnue du grand public mais de plus en plus redoutée par les experts en marketing digital et cybersécurité. Il s'agit d'une méthode de cyberattaque exploitant les systèmes de publicité en ligne, notamment ceux proposés par les moteurs de recherche comme Google via sa plateforme Google Ads. L’objectif de ces attaques est d’abuser du fonctionnement du SEA (Search Engine Advertising) pour diffuser des contenus frauduleux, malveillants ou trompeurs à travers des annonces sponsorisées, atteignant ainsi les internautes au moment où ils recherchent activement une information ou un service.

Le fonctionnement du SEA poisoning s’appuie sur l'achat de mots-clés stratégiques dans le but de faire apparaître des publicités factices ou dangereuses dans les premiers résultats sponsorisés des pages de recherche. Ces annonces peuvent rediriger vers des sites de phishing, de distribution de malwares, ou vers des pages destinées à escroquer les utilisateurs. Les cybercriminels peuvent ainsi exploiter la confiance implicite que les utilisateurs accordent aux publicités apparaissant sur des plateformes réputées, pensant à tort qu’elles sont vérifiées ou sécurisées.

Contrairement au SEO poisoning qui s’appuie sur le référencement naturel, le SEA poisoning nécessite un budget, souvent obtenu par des moyens illégaux comme des cartes bancaires volées, ou par l’usage de bots qui cliquent massivement sur les annonces de concurrents pour épuiser leur budget publicitaire. Une autre méthode consiste à usurper l’identité d’une entreprise légitime en copiant son style, son logo et son ton afin de tromper l’internaute. Ces annonces sont parfois indétectables par les utilisateurs moyens, tant leur conception est professionnelle.

Les conséquences du SEA Poisoning

Les conséquences du SEA poisoning peuvent être lourdes. Pour les internautes, cela signifie une exposition accrue aux cybermenaces : vol de données personnelles, infections de logiciels espions, hameçonnage ou redirections vers des plateformes illégales. Pour les entreprises, c’est une atteinte directe à leur image de marque, à la confiance de leurs clients et à leur retour sur investissement. Un utilisateur trompé par une publicité malveillante portant le nom d’une marque peut développer une méfiance durable envers celle-ci, même si elle n’est pas directement responsable.

La sophistication croissante des campagnes de SEA poisoning repose sur des techniques avancées comme le cloaking publicitaire, où le contenu affiché à Google est différent de celui vu par l’internaute. Certains attaquants utilisent également des scripts pour générer dynamiquement des annonces en fonction des requêtes les plus populaires. Grâce à l’intelligence artificielle, ils sont capables de concevoir des publicités extrêmement convaincantes, personnalisées selon la géolocalisation, l’historique de navigation ou le profil démographique de l’utilisateur.

Les mesures de protection contre le SEA Poisoning

Les plateformes publicitaires comme Google Ads mettent en œuvre des mécanismes de détection automatisée pour contrer ces abus : systèmes de vérification des annonceurs, modération des contenus, analyse comportementale des clics, suspension automatique de comptes suspects. Toutefois, les cybercriminels sont très réactifs. Ils créent des comptes éphémères, utilisent des serveurs répartis dans différents pays, et modifient régulièrement leurs annonces pour contourner les filtres automatiques. C’est une véritable guerre de l’information qui se joue entre les plateformes et les fraudeurs.

Les entreprises qui investissent dans le SEA doivent donc prendre des précautions pour ne pas être victimes ou complices involontaires de ces attaques. Il est conseillé de surveiller activement les annonces liées à sa marque via des outils de brand monitoring, d'utiliser les fonctionnalités de signalement des publicités frauduleuses, et de protéger ses actifs numériques (logos, noms de domaine) à l’aide de dépôts de marque et de certificats SSL. Par ailleurs, une vigilance constante doit être exercée sur les rapports de campagnes pour détecter des anomalies de performance ou des pics de clics non justifiés.

Du côté des utilisateurs, l’adoption de comportements responsables est tout aussi essentielle. Vérifier l’URL d’un site avant d’y saisir des données sensibles, activer des extensions de navigateur qui bloquent les scripts suspects, ou encore se méfier des offres trop alléchantes permet de réduire les risques. L’éducation numérique reste un levier fondamental pour limiter l’impact du SEA poisoning sur la société dans son ensemble.

Les autorités de régulation commencent également à s’intéresser de près à ce phénomène. Certaines législations imposent aux plateformes d’assurer une traçabilité des annonceurs et de fournir des canaux de plainte efficaces pour les marques comme pour les consommateurs. Néanmoins, la dimension transnationale des cyberattaques complique considérablement la mise en œuvre de sanctions efficaces. Une coopération internationale renforcée entre les États, les géants du Web et les chercheurs en cybersécurité apparaît comme indispensable pour freiner la prolifération du SEA poisoning.

En résumé, le SEA poisoning est une forme d’abus du marketing digital qui détourne les systèmes de publicité en ligne pour tromper les utilisateurs et compromettre la réputation des marques. Il constitue un défi majeur dans un écosystème où le numérique occupe une place croissante dans les interactions commerciales. Comprendre les mécanismes de cette menace, identifier les signaux d’alerte et adopter des stratégies de protection robustes sont des impératifs pour tous les acteurs du Web. Plus que jamais, la sécurité publicitaire doit devenir une priorité au même titre que la visibilité et la performance.

Lire la suite

SEO poisoning

SEO Poisoning : Comprendre et se protéger de cette menace numérique

Le SEO poisoning, ou empoisonnement du référencement naturel, désigne une technique malveillante utilisée par les cybercriminels pour manipuler les résultats des moteurs de recherche. L’objectif est de faire apparaître des pages Web corrompues en haut des résultats afin de piéger les internautes et les rediriger vers des sites contenant des logiciels malveillants, des arnaques ou du contenu frauduleux. Cette forme d’attaque exploite les mécanismes même du SEO (Search Engine Optimization) à des fins malicieuses, compromettant ainsi la sécurité des utilisateurs et la fiabilité de l’écosystème numérique.

Le fonctionnement du SEO poisoning repose sur des techniques de référencement avancées. Les attaquants créent ou compromettent des sites Web pour y insérer du contenu optimisé autour de mots-clés populaires, souvent liés à l’actualité, aux tendances ou à des recherches fréquentes. En utilisant des stratégies de netlinking agressives, des redirections dissimulées (cloaking), ou en exploitant des vulnérabilités dans des CMS comme WordPress, ils parviennent à propulser leurs pages corrompues dans les premières positions des SERP (Search Engine Results Pages).

Le danger principal du SEO poisoning réside dans la confiance que les internautes accordent aux résultats de recherche. Lorsqu’un utilisateur clique sur un lien en pensant accéder à une source fiable, il peut se retrouver sur un site infecté. Ces sites peuvent installer des malwares, voler des données personnelles ou financières, ou rediriger vers des arnaques de type phishing. Dans certains cas, le simple fait de visiter une page peut suffire à compromettre un système via des failles du navigateur.

Les cybercriminels ciblent souvent des événements à forte audience, comme les élections, les catastrophes naturelles, ou les grandes manifestations sportives. En créant du contenu autour de ces sujets, ils maximisent les chances de capter un large trafic. Le SEO poisoning peut aussi viser des noms de marques connues ou des requêtes liées à des produits technologiques populaires, exploitant ainsi la notoriété de ces termes pour appâter les victimes.

Une autre tactique courante consiste à pirater des sites Web légitimes ayant une bonne autorité de domaine. En injectant des pages cachées ou des scripts malveillants, les attaquants bénéficient de la crédibilité du site pour améliorer leur classement dans les moteurs de recherche. Ces pages sont souvent invisibles pour les administrateurs, car elles ne sont pas directement liées à la navigation normale du site, mais sont accessibles via des requêtes spécifiques sur Google.

SEO Poisoning : Comment s'en protéger ?

Pour se protéger contre le SEO poisoning, plusieurs mesures peuvent être mises en œuvre. Du côté des internautes, il est essentiel d’adopter une navigation prudente. Utiliser des antivirus à jour, éviter les clics sur des résultats suspects ou mal rédigés, et vérifier les URLs avant de visiter un site sont des réflexes à adopter. Les entreprises et les webmasters, quant à eux, doivent sécuriser leurs sites en renforçant les accès administrateurs, en appliquant régulièrement les mises à jour de sécurité et en surveillant leur contenu à l’aide d’outils d’analyse de site Web et de logs.

Les moteurs de recherche, tels que Google, jouent également un rôle crucial dans la lutte contre le SEO poisoning. Ils développent constamment des algorithmes plus sophistiqués pour détecter les comportements suspects, les redirections abusives et les pages de faible qualité. Cependant, la réactivité des attaquants rend cette tâche difficile. Le black hat SEO, utilisé dans le cadre du SEO poisoning, évolue en permanence pour contourner les protections mises en place.

Les conséquences du SEO Poisoning

Il est aussi important de noter que le SEO poisoning peut avoir des répercussions sur l’e-réputation des entreprises. Si un site est compromis, sa visibilité peut être détournée vers du contenu frauduleux, et sa crédibilité en pâtir. La récupération peut s’avérer longue et coûteuse, impliquant des audits de sécurité, un nettoyage des fichiers et des requêtes de réindexation auprès de Google. De plus, une perte de confiance des utilisateurs peut impacter durablement l’activité d’un site.

Le rôle de l’éducation numérique est fondamental dans la prévention du SEO poisoning. Sensibiliser les utilisateurs aux techniques de manipulation des moteurs de recherche, leur apprendre à identifier les signaux d’alerte et à se méfier des résultats trop alléchants ou mal formulés peut réduire considérablement les risques. Les formations en cybersécurité, tant pour les professionnels que pour le grand public, doivent intégrer cette thématique souvent négligée mais de plus en plus répandue.

En conclusion, le SEO poisoning représente une menace sérieuse pour la sécurité numérique. En exploitant les principes du référencement naturel à des fins malveillantes, les cybercriminels parviennent à contourner les défenses classiques et à piéger des milliers d’internautes. La lutte contre ce fléau passe par une collaboration entre les éditeurs de contenu, les moteurs de recherche, les experts en cybersécurité et les utilisateurs eux-mêmes. Se tenir informé, sécuriser les plateformes Web et adopter de bonnes pratiques de navigation sont les piliers d’une protection efficace contre ce type d’attaque insidieuse.

Lire la suite

L'arnaque au wangiri

L’arnaque au Wangiri est une forme de fraude téléphonique aussi discrète qu’efficace. Le principe est simple : faire sonner un téléphone une seule fois pour empêcher la victime de prendre l'appel et l'inciter à rappeler un numéro surtaxé à l’étranger. Le terme "Wangiri", d’origine japonaise, signifie littéralement "un appel et ça coupe", ce qui résume parfaitement la technique. Dans cet article, nous allons explorer en détail ce type d’escroquerie : son fonctionnement, ses dangers, les numéros concernés, des exemples concrets, et surtout, les moyens de s’en protéger efficacement.

Comment fonctionne l’arnaque au Wangiri ?

La mécanique de cette fraude repose sur un réflexe humain : rappeler un appel manqué, surtout s’il provient d’un numéro international inconnu. Le fraudeur configure un robot ou un système automatisé pour composer en rafale des milliers de numéros. Chaque appel ne dure qu’une ou deux sonneries, puis raccroche automatiquement, laissant un appel manqué visible sur le téléphone de la victime.

Lorsque la personne rappelle, elle est connectée à un numéro surtaxé à l’international (souvent basé en Afrique, dans les Caraïbes, ou en Europe de l'Est) et se retrouve facturée lourdement à la minute, même si la ligne semble silencieuse ou diffuse de la musique d'attente. Il est cependant plus courant d'être en relation avec une personne qui essaiera de faire durer la conversation le plus possible.

Des exemples concrets en France et en Europe

En 2019, l’Autorité de régulation des communications électroniques (ARCEP) en France a reçu une vague de signalements concernant des appels en provenance d’indicatifs +216 (Tunisie), +225 (Côte d’Ivoire), +223 (Mali), et +676 (Tonga). De nombreux utilisateurs ont rapporté avoir perdu jusqu’à plusieurs dizaines d’euros après avoir simplement rappelé un appel manqué.

En Espagne, une campagne similaire a été menée à partir de numéros commençant par +252 (Somalie), conduisant l’agence espagnole de cybersécurité à alerter la population par voie de presse. Ces campagnes ciblent souvent les heures tardives (nuit, week-end) pour maximiser les chances que la personne rappelle sans réfléchir.

Quels sont les indicatifs les plus utilisés ?

Les escrocs choisissent des pays avec peu de régulations, ou qui autorisent la mise en place de lignes téléphoniques premium. Voici quelques indicatifs souvent associés à des arnaques Wangiri :

• +225 (Côte d’Ivoire)
• +216 (Tunisie)
• +234 (Nigéria)
• +678 (Vanuatu)
• +383 (Kosovo)
• +252 (Somalie)

Il est important de noter que ce ne sont pas les pays eux-mêmes qui sont responsables, mais bien des cybercriminels exploitant des failles dans leur système téléphonique.

Pourquoi l’arnaque Wangiri fonctionne-t-elle si bien ?

Tout comme le phishing en cybersécurité, cette technique joue sur des réflexes cognitifs : la curiosité, la peur de manquer un appel important, ou encore la confusion à cause de l’indicatif international. Elle est également difficile à repérer car le numéro affiché semble authentique.

De plus, contrairement à d’autres arnaques nécessitant des interactions complexes, ici une seule action suffit : rappeler. C’est un piège instantané et silencieux.

Comment se protéger contre l’arnaque Wangiri ?

Plusieurs bonnes pratiques permettent de réduire considérablement les risques :

• Ne jamais rappeler un numéro international inconnu que vous ne reconnaissez pas, surtout s’il n’a sonné qu’une seule fois.
• Activer les filtres anti-spam sur votre téléphone ou via votre opérateur. Des applications comme Truecaller, Hiya ou Orange Téléphone peuvent aider à identifier les numéros suspects.
• Signaler les numéros frauduleux sur les plateformes comme 33700.fr, service officiel en France pour les spams vocaux et SMS.
• Bloquer manuellement les indicatifs sensibles si vous ne communiquez pas à l'international.

Quel est l’impact financier réel ?

Les pertes peuvent varier selon les opérateurs et les durées d’appel. Certains numéros facturent jusqu’à 3 euros la minute, et les appels durent parfois plusieurs dizaines de secondes avant qu’on réalise qu’il s’agit d’une arnaque. En cumulant les victimes, les gains pour les cybercriminels peuvent se chiffrer en millions d’euros.

Que font les autorités ?

Des entités comme l’ARCEP, la DGCCRF et les opérateurs télécoms collaborent pour bloquer ces numéros à la source. En 2022, plusieurs opérateurs ont mis en place des filtres automatiques d’appel pour les indicatifs suspects. Toutefois, les fraudeurs s’adaptent en changeant fréquemment de numéros ou en exploitant de nouveaux pays.

Wangiri et avenir : vers de nouvelles formes de fraudes télécoms

Avec l’évolution des technologies, l’arnaque au Wangiri pourrait s’associer à des techniques plus avancées comme les deepfakes vocaux ou les bots intelligents capables de converser quelques instants pour légitimer un appel. Cela rendra la détection encore plus difficile pour les usagers non avertis.

Dans ce contexte, la sensibilisation reste la meilleure défense. Il est crucial de changer notre comportement vis-à-vis des appels inconnus, à l’image de ce qui se fait déjà pour les emails suspects.

L’arnaque au Wangiri est une menace discrète mais bien réelle. Elle s’appuie sur la simplicité de l’appel téléphonique pour escroquer des milliers de personnes, souvent sans qu’elles s’en rendent compte immédiatement. Grâce à une meilleure information, à des outils de protection, et à la vigilance collective, il est possible de réduire son impact. Si vous recevez un appel manqué d’un numéro international inconnu, le bon réflexe est simple : ne rappelez pas.

Références :

• ARCEP – Arnaques téléphoniques
• Plateforme officielle de signalement des spams vocaux
• Cybermalveillance.gouv.fr

Lire la suite

Smishing : comprendre et se protéger

Le smishing est une forme de cyberattaque de plus en plus répandue. Ce terme, contraction de « SMS » et « phishing », désigne l’hameçonnage par message texte. L’objectif est de tromper la victime pour qu’elle divulgue des informations personnelles ou confidentielles via un lien frauduleux ou un faux numéro.

Comment fonctionne le smishing ?

Dans une attaque de smishing, la victime reçoit un SMS prétendant provenir d’une entité fiable (banque, opérateur mobile, service de livraison…). Le message incite à cliquer sur un lien ou à appeler un numéro pour "résoudre un problème urgent". En réalité, le lien redirige vers un site frauduleux conçu pour voler des données.

Exemples concrets de smishing

• Faux colis : « Votre colis est en attente. Veuillez régler les frais d’expédition ici : [lien suspect] ».
• Fausse alerte bancaire : « Suspicion d’activité frauduleuse. Connectez-vous immédiatement : [lien] ».
• Arnaque CPF : « Votre compte formation expire bientôt. Activez-le ici : [faux site gouvernemental] ».

Pourquoi le smishing est-il si efficace ?

Contrairement aux e-mails, les SMS inspirent souvent plus de confiance et sont lus immédiatement. De plus, les utilisateurs de smartphones sont plus susceptibles de cliquer sur des liens sans vérifier leur authenticité. Les cybercriminels exploitent ce comportement impulsif pour piéger leurs cibles.

Risques encourus

Le smishing peut entraîner de graves conséquences :

• Vol de données bancaires
• Accès non autorisé à des comptes personnels
• Installation de logiciels malveillants sur le téléphone
• Perte financière importante
• Usurpation d'identité

Comment reconnaître un SMS frauduleux ?

Voici quelques signes révélateurs :

• Langage alarmiste ou pressant (« urgent », « dernière chance », etc.)
• Liens raccourcis ou suspects
• Expéditeur inconnu ou numéro étrange
• Fautes d’orthographe ou formulation inhabituelle

Bonnes pratiques pour se protéger du smishing

• Ne jamais cliquer sur un lien reçu par SMS d’un expéditeur inconnu
• Ne pas fournir d’informations personnelles ou bancaires par SMS
• Vérifier les informations via les canaux officiels
• Activer la double authentification sur vos comptes
• Installer un antivirus mobile et maintenir son système à jour

Que faire si vous êtes victime de smishing ?

Si vous avez cliqué sur un lien ou transmis des données :

• Changez immédiatement vos mots de passe
• Contactez votre banque et surveillez vos comptes
• Signalez l’escroquerie sur Cybermalveillance.gouv.fr
• Déposez plainte auprès de la police ou gendarmerie

Le smishing en chiffres

Selon l’ANSSI, les cas de smishing ont augmenté de plus de 30 % en France entre 2021 et 2024. Cette tendance s’explique notamment par l’usage massif des smartphones et la crédulité face aux SMS d’apparence officielle.

Le smishing est une menace sérieuse dans le paysage numérique actuel. En comprenant ses mécanismes et en adoptant des réflexes de vigilance, chacun peut réduire considérablement les risques. Restez informé, méfiez-vous des messages suspects et n'oubliez jamais que votre vigilance est votre meilleure défense.

Lire la suite

Spear Phishing : comprendre et se protéger

Spear Phishing : Définition, Fonctionnement et Protection Contre l’Hameçonnage Ciblé

Qu’est-ce que le Spear Phishing ?

Le spear phishing, ou hameçonnage ciblé, est une cyberattaque précise basée sur l’ingénierie sociale, visant à manipuler une personne pour obtenir des données sensibles. Contrairement au phishing classique, l’attaque est personnalisée et préparée après une phase de renseignement approfondie.

Comment fonctionne une attaque de Spear Phishing ?

1. Collecte de renseignements : via réseaux sociaux, sites d’entreprises, etc.
2. Création d’un message frauduleux : imitation d’un contact de confiance.
3. Envoi du message : pièce jointe ou lien malveillant.
4. Exploitation : vol de données, accès réseau, fraude.

Exemples concrets d’attaques de Spear Phishing

• Fraude au président : demande urgente de virement bancaire par un faux PDG.
• Alerte IT : réinitialisation de mot de passe via un faux email IT.
• Document RH piégé : pièce jointe déclenchant un malware.

Pourquoi le Spear Phishing est-il dangereux ?

• Messages personnalisés et très réalistes
• Taux de réussite élevé
• Conséquences sévères : vol de données, perte financière

Conséquences d’une attaque

Pour les entreprises :

• Vol de données
• Sanctions RGPD
• Perte de réputation

Pour les particuliers :

• Usurpation d'identité
• Piratage de comptes
• Fraudes bancaires

Comment se protéger contre le Spear Phishing ?

Sensibilisation à la cybersécurité

• Formations anti-phishing
• Reconnaissance des signes suspects

Protocoles de vérification

• Vérification par téléphone
• Double canal de confirmation

Solutions techniques de protection

Voici des exemples de logiciels contre le spear phishing :

• Proofpoint Email Protection, Mimecast, Barracuda : filtrage d’emails frauduleux.
• CrowdStrike Falcon, SentinelOne, Bitdefender : protection endpoint EDR.
• Duo Security, Microsoft Authenticator : authentification à deux facteurs.
• Darktrace, Microsoft Defender for Office 365 : détection comportementale des anomalies.

Le spear phishing est l’une des attaques les plus redoutables de la cybersécurité moderne. Pour s’en protéger, il est essentiel de combiner formation humaine et technologies de sécurité avancées. La vigilance et la prévention restent les meilleurs remparts contre l’hameçonnage ciblé.

Lire la suite

Le phishing : comprendre, détecter et se protéger efficacement

Le phishing, ou hameçonnage, est l'une des cybermenaces les plus courantes et dangereuses dans le paysage numérique actuel. Cette technique de piratage vise à tromper les internautes pour qu'ils divulguent des informations sensibles telles que des identifiants, mots de passe ou coordonnées bancaires. Que vous soyez une entreprise, un particulier ou un professionnel de la cybersécurité, comprendre le phishing est indispensable pour vous protéger efficacement.

Qu’est-ce que le phishing ?

Le phishing est une forme d’ingénierie sociale où un cybercriminel envoie un message, souvent par email, SMS (smishing) ou réseaux sociaux, qui imite une source fiable. L’objectif : inciter la victime à cliquer sur un lien malveillant ou à fournir des données confidentielles.

Exemples typiques de phishing :

• Email prétendant venir de votre banque pour vérifier votre compte.
• Message WhatsApp vous informant d’un colis en attente avec un lien.
• Faux message de sécurité Microsoft vous alertant d’une activité suspecte.

Pourquoi le phishing est-il si dangereux ?

Le phishing repose sur la tromperie et la rapidité de réaction. Ces attaques sont efficaces car elles jouent sur :

• La peur (compte bloqué, menace judiciaire)
• L’urgence (action immédiate requise)
• La confiance (usurpation d’identité d’une marque)

Les faux messages sont de plus en plus sophistiqués, rendant leur détection plus difficile.

Les différentes formes de phishing

• Email phishing : classique, via des emails frauduleux avec pièces jointes ou liens malveillants.
• Spear phishing : ciblé contre une personne spécifique, souvent en entreprise.
• Whaling : attaque ciblée sur les cadres dirigeants.
• Smishing et vishing : via SMS (smishing) ou appel téléphonique (vishing).
• Pharming : redirection vers un faux site via une manipulation du DNS.

Comment reconnaître un email de phishing ?

• Adresse email de l’expéditeur suspecte ou incohérente
• Nombreuses fautes d’orthographe
• Ton alarmiste ou urgence injustifiée
• Liens ou pièces jointes douteux
• Demande de données personnelles ou bancaires

Bonnes pratiques pour se protéger du phishing

• Sensibilisation : Former les utilisateurs avec des campagnes de simulation.
• Vérification des expéditeurs : Ne jamais se fier uniquement au nom visible.
• Prudence sur les liens : Ne pas cliquer sans vérifier l’URL réelle.
• Authentification à deux facteurs : Activez le 2FA pour sécuriser vos comptes.
• Utiliser des outils de sécurité : Antivirus, filtres anti-spam, extensions navigateur.

Que faire si vous êtes victime de phishing ?

1. Changer immédiatement tous les mots de passe compromis.
2. Activer l’authentification à deux facteurs si ce n’est pas fait.
3. Contacter les institutions (banque, sécurité informatique, etc.).
4. Signaler l’attaque sur phishing-initiative.fr.
5. Surveiller vos comptes pour toute activité inhabituelle.

Statistiques clés sur le phishing en 2025

• Plus de 90 % des cyberattaques réussies commencent par un email de phishing.
• Le phishing coûte plus de 6 milliards de dollars par an aux entreprises dans le monde.
• En France, plus de 70 % des internautes ont déjà reçu un message frauduleux.

Outils et ressources utiles

• Google Safe Browsing : vérification de sites suspects
• Have I Been Pwned : vérifier les fuites de données
• Cybermalveillance.gouv.fr : assistance pour victimes de cyberattaques

Lire la suite

Qu’est-ce que l’ingénierie sociale ?

Alors que les pare-feux, antivirus, et systèmes de détection des intrusions deviennent de plus en plus sophistiqués, les cybercriminels adoptent une stratégie qui contourne la technologie : ils s’attaquent directement au maillon le plus vulnérable de tout système informatique — l’humain. Cette stratégie, connue sous le nom de social engineering ou ingénierie sociale, repose sur la manipulation psychologique pour accéder à des informations confidentielles ou contourner des protocoles de sécurité.

Qu’est-ce que l’ingénierie sociale ?

L’ingénierie sociale en cybersécurité est un ensemble de techniques qui exploitent la confiance, la peur ou la curiosité humaine pour inciter une personne à révéler des informations sensibles, cliquer sur un lien malveillant, ou exécuter une action qui compromet la sécurité d’un système.

Les techniques les plus courantes de social engineering

Phishing

Le phishing est la technique la plus répandue. Elle consiste à envoyer un email frauduleux se faisant passer pour une entité de confiance (banque, fournisseur d’énergie, administration…) dans le but de récolter des identifiants ou d’installer un malware.

Vishing et Smishing

Le vishing (voice phishing) utilise les appels téléphoniques tandis que le smishing repose sur l’envoi de SMS frauduleux.

Pretexting

Le pretexting utilise une fausse identité ou une histoire crédible pour convaincre une personne de divulguer des données sensibles.

Baiting

Cette technique joue sur l’attrait d’une récompense. Par exemple, une clé USB laissée volontairement dans un lieu public peut infecter un appareil une fois connectée.

Pourquoi le social engineering fonctionne si bien ?

Cette approche repose sur des principes psychologiques puissants, comme identifiés par Robert Cialdini :

• L’autorité : obéissance à une figure de pouvoir.
• L’urgence : prise de décision rapide sans analyse.
• La rareté : peur de manquer une opportunité.
• La réciprocité : rendre un "service" après en avoir reçu un.

Exemples notables d’attaques réussies

En 2020, Twitter a été victime d’une attaque où des employés ont été manipulés pour fournir des accès internes. Des comptes célèbres ont été détournés pour une arnaque au Bitcoin.

En 2013, la chaîne américaine Target a vu les données de plus de 40 millions de clients compromises via un prestataire de services climatiques manipulé.

Conséquences pour les entreprises

Les conséquences incluent perte de données, atteinte à la réputation, coûts financiers, et sanctions réglementaires (comme le RGPD). Selon le rapport 2023 de Verizon, plus de 70 % des violations impliquent un facteur humain, souvent lié au social engineering.

Comment se protéger contre l’ingénierie sociale ?

Sensibilisation et formation continue

Les entreprises doivent éduquer leurs employés à repérer les tentatives d’attaques. Cela inclut la méfiance envers les emails suspects, la vérification d’expéditeurs, et la non-divulgation d’informations sensibles par téléphone.

Politiques internes claires

Mettre en place des protocoles stricts pour la gestion des accès, les validations hiérarchiques et les demandes financières est essentiel.

Solutions techniques

L’authentification multifacteur (MFA), les outils de détection de comportements anormaux, et les filtres anti-phishing doivent être déployés.

Le futur : IA et deepfake

Les cybercriminels utilisent désormais des deepfakes et l’IA générative pour créer de fausses voix, vidéos ou messages convaincants. Cela ouvre la voie à des attaques encore plus crédibles et difficiles à détecter.

Le social engineering n’est pas une attaque informatique au sens strict, mais une attaque ciblant notre comportement humain. Former les individus, renforcer les protocoles et surveiller les nouvelles techniques est aujourd’hui indispensable pour toute organisation soucieuse de sa sécurité.

Références :

• Verizon Data Breach Investigations Report 2023
• ENISA Threat Landscape 2023
• Robert Cialdini, Influence: The Psychology of Persuasion

Lire la suite