2FA Bypass

🎯 Contexte Source : Malwarebytes ThreatLabs, publié le 14 octobre 2026 par Stefan Dasic. L’article documente une campagne de phishing active exploitant l’image de Calendly et de Meta pour cibler des chercheurs d’emploi. 🕵️ Description de l’attaque Des attaquants ont déployé 11 domaines de phishing imitant des pages de réservation Calendly pour de faux entretiens d’embauche chez Meta. Le flux d’attaque suit une séquence en plusieurs étapes : Fausse page Calendly : intitulée « Calendly | Meta Careers », avec calendrier interactif chargé depuis le serveur des attaquants Collecte de données personnelles : nom, email, téléphone Faux CAPTCHA : grille d’images pour contourner les scanners automatisés Fausse fenêtre de connexion Facebook : avec fausse barre d’adresse simulant un pop-up navigateur légitime Vol du code 2FA Facebook : le site relaie en temps réel le code vers le vrai Facebook avant expiration Fausse connexion Google : prétexte « Facebook requires you to sign in to the Gmail address », avec vol du mot de passe et des facteurs d’authentification Google Fausse confirmation : message indiquant qu’une invitation a été envoyée ⚙️ Mécanisme de contournement du 2FA Le kit de phishing opère en temps réel : il interroge continuellement le serveur des attaquants pour savoir quel écran afficher. Les attaquants utilisent immédiatement les identifiants volés sur les vrais services, relayant les demandes de codes ou d’approbations de prompts téléphoniques à la victime encore connectée sur la fausse page (attaque de type AiTM – Adversary-in-the-Middle). ...

🎯 Contexte Publié le 12 juin 2026 par CERT Polska, cet article documente une campagne de phishing active menée par le groupe UNC1151/Ghostwriter, l’un des groupes APT les plus actifs surveillés par l’équipe. La campagne cible les comptes Gmail de citoyens polonais depuis mars 2026, marquant une évolution par rapport aux campagnes précédentes qui visaient les fournisseurs de messagerie polonais (Onet, Wirtualna Polska, Interia). 👥 Victimes ciblées Le groupe cible un spectre très large de victimes : ...

🔍 Contexte Cet avis de sécurité a été publié par Dashlane Inc. le 1er juin 2026, avec une mise à jour le 4 juin 2026 confirmant la clôture de l’investigation. Il concerne une attaque par force brute ciblant les comptes utilisateurs de la plateforme de gestion de mots de passe Dashlane. 🎯 Nature de l’attaque À partir du 31 mai 2026, un acteur externe a ciblé les endpoints API d’enregistrement de nouveaux dispositifs de Dashlane. L’objectif était de contourner la protection 2FA en soumettant automatiquement un grand volume de combinaisons numériques pour deviner les tokens à 6 chiffres à usage unique envoyés par email ou générés par une application d’authentification. ...

Source: Fortinet (PSIRT Blog). Fortinet indique avoir observé dans la nature l’abus de la vulnérabilité FG‑IR‑19‑283 / CVE‑2020‑12812 publiée en juillet 2020, liée à un contournement du 2FA sur FortiGate dans des configurations précises. Le problème survient lorsque FortiGate traite les noms d’utilisateurs comme sensibles à la casse par défaut, alors que le répertoire LDAP ne l’est pas. Dans un contexte où des comptes locaux FortiGate avec 2FA sont mappés à LDAP, que ces mêmes utilisateurs appartiennent à des groupes LDAP, et qu’au moins un de ces groupes est configuré dans une politique d’authentification FortiGate, une connexion avec une variante de casse du nom (ex: « JSmith » au lieu de « jsmith ») ne correspond pas au compte local et déclenche une tentative d’authentification via les autres politiques. ...