BEC

🔍 Contexte Article publié le 4 mai 2026 par Roman Dedenok sur Securelist (Kaspersky). Il documente une tendance croissante d’abus du service légitime Amazon Simple Email Service (Amazon SES) à des fins de phishing et d’attaques BEC (Business Email Compromise). ⚙️ Mécanisme d’attaque Les attaquants obtiennent un accès à Amazon SES principalement via des clés IAM AWS compromises ou exposées, trouvées dans : Dépôts GitHub publics Fichiers ENV Images Docker Sauvegardes de configuration Buckets S3 accessibles publiquement Pour automatiser la recherche de ces clés, les attaquants utilisent des outils comme TruffleHog, un utilitaire open-source de détection de secrets exposés. ...

🗓️ Contexte Source : BBC News, publié le 23 avril 2026. Le Sri Lanka a officiellement lancé une enquête après la découverte d’une cyberattaque ayant conduit au détournement de 2,5 millions de dollars (1,8 million de livres sterling) depuis les systèmes informatiques du ministère des Finances. 🎯 Nature de l’attaque Les enquêteurs estiment que les cybercriminels ont manipulé des instructions de paiement transmises par email dans le cadre du processus de règlement de la dette souveraine. Les fonds, destinés à l’Australie dans le cadre d’un remboursement bilatéral dont l’échéance était fixée à septembre 2025, ont été redirigés vers des comptes bancaires non autorisés. Le détournement aurait eu lieu en janvier 2026, mais n’a été découvert que lorsque le créancier australien a signalé ne pas avoir reçu le paiement. ...

📰 Source : Sekoia TDR (blog.sekoia.io) — Date de publication : 7 avril 2026 (rapport FLINT TLP:AMBER distribué le 30 mars 2026) Contexte EvilTokens est un kit de Phishing-as-a-Service (PhaaS) apparu depuis mi-février 2026, spécialisé dans le device code phishing Microsoft et la fraude BEC (Business Email Compromise). Cet article constitue la partie 2 d’une analyse technique approfondie publiée par l’équipe TDR de Sekoia. Fonctionnement du PhaaS Le service est opéré via Telegram par l’administrateur eviltokensadmin, qui propose trois produits : ...

📰 Source : The Register | Date : 9 avril 2026 | Contexte : Annonce officielle de Zephyr Energy plc, société pétrolière et gazière cotée à Londres, opérant dans la région des Rocheuses américaines. 🎯 Nature de l’incident Une filiale américaine de Zephyr Energy a été victime d’une fraude au virement bancaire (Business Email Compromise ou attaque similaire), dans laquelle un paiement destiné à un sous-traitant a été redirigé vers un compte bancaire contrôlé par les attaquants. Le montant détourné s’élève à environ 700 000 £. ...

🔍 Contexte Rapport publié par Sekoia Threat Detection & Research (TDR) le 30 mars 2026, initialement distribué en privé le 25 mars 2026. L’analyse porte sur EvilTokens, un nouveau kit de Phishing-as-a-Service (PhaaS) découvert en mars 2026 via la surveillance de communautés cybercriminelles axées sur le phishing. 🎯 Description de la menace EvilTokens est un kit PhaaS clé en main ciblant Microsoft 365 via la technique de device code phishing, exploitant le flux OAuth 2.0 Device Authorization Grant. Contrairement aux plateformes AitM classiques, EvilTokens incite les victimes à entrer un code utilisateur sur la page légitime de Microsoft, permettant à l’attaquant de récupérer des access tokens et refresh tokens valides. ...

🌐 Contexte Cet article est publié le 24 mars 2026 par CrowdStrike sur son blog officiel. Il analyse l’impact de l’opération de démantèlement de Tycoon2FA, une plateforme Phishing-as-a-Service (PhaaS) par abonnement, annoncée par Europol le 4 mars 2026. 🎯 Description de la menace Tycoon2FA est opérationnelle depuis 2023. Elle fournit un kit de phishing basé sur des techniques adversary-in-the-middle (AITM) permettant de contourner l’authentification multifacteur (MFA). En mi-2025, elle était responsable de 62% de toutes les tentatives de phishing bloquées par Microsoft et aurait généré plus de 30 millions d’emails malveillants en un seul mois. ...

Source: Microsoft Defender Security Research Team. Contexte: les chercheurs détaillent une campagne multi-étapes d’AiTM phishing évoluant vers des activités de BEC contre plusieurs organisations du secteur de l’énergie, abusant de SharePoint pour la livraison et s’appuyant sur des règles de messagerie pour la persistance et l’évasion. Résumé opérationnel: Les attaquants ont initialement exploité une identité de tiers de confiance compromise pour envoyer un lien SharePoint légitime nécessitant authentification, mimant les workflows de partage SharePoint. Après clic, la chaîne a inclus une attaque AiTM (vol/usage de cookies de session) et la création de règles supprimant et marquant comme lus les emails entrants, afin de masquer l’activité. Les comptes compromis ont servi à une campagne de phishing à grande échelle (>600 emails) vers contacts internes/externes et listes de distribution, sélectionnés depuis les fils récents. Les opérateurs ont ensuite mené des tactiques BEC: surveillance des NDR/OOO, suppression des traces, réponses rassurantes aux doutes, puis poursuite des compromissions en chaîne via de nouveaux clics. Détections et réponses Microsoft Defender XDR: ...

Source: Microsoft Threat Intelligence — Microsoft détaille l’essor de RedVDS, un marché criminel de VDS/RDP Windows clonés, utilisé par de multiples acteurs financiers (Storm‑0259, Storm‑2227, Storm‑1575, Storm‑1747, etc.) pour des opérations de phishing, account takeover et BEC à l’échelle mondiale. En coopération avec des forces de l’ordre, la Digital Crimes Unit (DCU) a récemment facilité une perturbation de l’infrastructure RedVDS. Microsoft relie ces activités à environ 40 M$ de pertes signalées aux États‑Unis depuis mars 2025. ...

Source: Microsoft (Digital Crimes Unit) — Microsoft annonce une action juridique coordonnée aux États-Unis et, pour la première fois, au Royaume‑Uni, appuyée par des autorités allemandes et Europol, pour perturber RedVDS, un service d’abonnement fournissant des ordinateurs virtuels jetables utilisés dans des fraudes massives. L’opération a permis la saisie d’infrastructures clés et la mise hors ligne de la place de marché RedVDS. RedVDS s’inscrit dans l’écosystème cybercrime-as-a-service en offrant, dès 24 USD par mois, des machines virtuelles discrètes et éphémères fonctionnant avec des logiciels non licenciés, dont Windows. Ce service a été massivement exploité pour envoyer des campagnes de phishing à haut volume, héberger de l’infrastructure de scam, et faciliter des fraudes assistées par IA générative (face swap, manipulation vidéo, clonage de voix). En un mois, plus de 2 600 VM RedVDS ont expédié en moyenne 1 million d’e‑mails de phishing par jour vers des clients Microsoft (sur les 600 millions d’attaques bloquées quotidiennement), contribuant depuis septembre 2025 à plus de 191 000 compromissions ou accès frauduleux d’organisations. ...

Selon Interpol, l’initiative coordonnée « Opération Sentinel » menée entre le 27 octobre et le 27 novembre, avec la participation de 19 pays, a visé des affaires de compromission de courriels professionnels (BEC), d’extorsion et de ransomware. 🚔 Résultats clés: 574 arrestations et 3 millions de dollars récupérés. 🌐 Disruption: plus de 6 000 liens malveillants démantelés. 🔐 Ransomware: six variantes distinctes déchiffrées. 💰 Impact financier: des cas liés à plus de 21 millions de dollars de pertes. Interpol met en avant plusieurs succès majeurs obtenus durant l’opération : ...