BEC

🔍 Contexte Rapport publié par Sekoia Threat Detection & Research (TDR) le 30 mars 2026, initialement distribué en privé le 25 mars 2026. L’analyse porte sur EvilTokens, un nouveau kit de Phishing-as-a-Service (PhaaS) découvert en mars 2026 via la surveillance de communautés cybercriminelles axées sur le phishing. 🎯 Description de la menace EvilTokens est un kit PhaaS clé en main ciblant Microsoft 365 via la technique de device code phishing, exploitant le flux OAuth 2.0 Device Authorization Grant. Contrairement aux plateformes AitM classiques, EvilTokens incite les victimes à entrer un code utilisateur sur la page légitime de Microsoft, permettant à l’attaquant de récupérer des access tokens et refresh tokens valides. ...

🌐 Contexte Cet article est publié le 24 mars 2026 par CrowdStrike sur son blog officiel. Il analyse l’impact de l’opération de démantèlement de Tycoon2FA, une plateforme Phishing-as-a-Service (PhaaS) par abonnement, annoncée par Europol le 4 mars 2026. 🎯 Description de la menace Tycoon2FA est opérationnelle depuis 2023. Elle fournit un kit de phishing basé sur des techniques adversary-in-the-middle (AITM) permettant de contourner l’authentification multifacteur (MFA). En mi-2025, elle était responsable de 62% de toutes les tentatives de phishing bloquées par Microsoft et aurait généré plus de 30 millions d’emails malveillants en un seul mois. ...

Source: Microsoft Defender Security Research Team. Contexte: les chercheurs détaillent une campagne multi-étapes d’AiTM phishing évoluant vers des activités de BEC contre plusieurs organisations du secteur de l’énergie, abusant de SharePoint pour la livraison et s’appuyant sur des règles de messagerie pour la persistance et l’évasion. Résumé opérationnel: Les attaquants ont initialement exploité une identité de tiers de confiance compromise pour envoyer un lien SharePoint légitime nécessitant authentification, mimant les workflows de partage SharePoint. Après clic, la chaîne a inclus une attaque AiTM (vol/usage de cookies de session) et la création de règles supprimant et marquant comme lus les emails entrants, afin de masquer l’activité. Les comptes compromis ont servi à une campagne de phishing à grande échelle (>600 emails) vers contacts internes/externes et listes de distribution, sélectionnés depuis les fils récents. Les opérateurs ont ensuite mené des tactiques BEC: surveillance des NDR/OOO, suppression des traces, réponses rassurantes aux doutes, puis poursuite des compromissions en chaîne via de nouveaux clics. Détections et réponses Microsoft Defender XDR: ...

Source: Microsoft Threat Intelligence — Microsoft détaille l’essor de RedVDS, un marché criminel de VDS/RDP Windows clonés, utilisé par de multiples acteurs financiers (Storm‑0259, Storm‑2227, Storm‑1575, Storm‑1747, etc.) pour des opérations de phishing, account takeover et BEC à l’échelle mondiale. En coopération avec des forces de l’ordre, la Digital Crimes Unit (DCU) a récemment facilité une perturbation de l’infrastructure RedVDS. Microsoft relie ces activités à environ 40 M$ de pertes signalées aux États‑Unis depuis mars 2025. ...

Source: Microsoft (Digital Crimes Unit) — Microsoft annonce une action juridique coordonnée aux États-Unis et, pour la première fois, au Royaume‑Uni, appuyée par des autorités allemandes et Europol, pour perturber RedVDS, un service d’abonnement fournissant des ordinateurs virtuels jetables utilisés dans des fraudes massives. L’opération a permis la saisie d’infrastructures clés et la mise hors ligne de la place de marché RedVDS. RedVDS s’inscrit dans l’écosystème cybercrime-as-a-service en offrant, dès 24 USD par mois, des machines virtuelles discrètes et éphémères fonctionnant avec des logiciels non licenciés, dont Windows. Ce service a été massivement exploité pour envoyer des campagnes de phishing à haut volume, héberger de l’infrastructure de scam, et faciliter des fraudes assistées par IA générative (face swap, manipulation vidéo, clonage de voix). En un mois, plus de 2 600 VM RedVDS ont expédié en moyenne 1 million d’e‑mails de phishing par jour vers des clients Microsoft (sur les 600 millions d’attaques bloquées quotidiennement), contribuant depuis septembre 2025 à plus de 191 000 compromissions ou accès frauduleux d’organisations. ...

Selon Interpol, l’initiative coordonnée « Opération Sentinel » menée entre le 27 octobre et le 27 novembre, avec la participation de 19 pays, a visé des affaires de compromission de courriels professionnels (BEC), d’extorsion et de ransomware. 🚔 Résultats clés: 574 arrestations et 3 millions de dollars récupérés. 🌐 Disruption: plus de 6 000 liens malveillants démantelés. 🔐 Ransomware: six variantes distinctes déchiffrées. 💰 Impact financier: des cas liés à plus de 21 millions de dollars de pertes. Interpol met en avant plusieurs succès majeurs obtenus durant l’opération : ...

Source: ENISA (European Union Agency for Cybersecurity) — Contexte: publication de l’ENISA Threat Landscape 2024 (période couverte: juillet 2023 à juin 2024, sortie en septembre 2024). Le rapport met en avant 7/8 menaces « prime » avec les menaces contre la disponibilité (DDoS) et le ransomware en tête, suivis des menaces contre les données, malwares, ingénierie sociale, manipulation de l’information et chaîne d’approvisionnement. ENISA indique avoir observé 11 079 incidents (dont 322 visant plusieurs États membres), avec une hausse notable des événements dans l’UE au 1er semestre 2024. ...

Source : INTERPOL (interpol.int) – Dans le cadre de l’opération Serengeti 2.0 menée de juin à août 2025, 18 pays africains et le Royaume‑Uni ont coordonné une vaste action contre la cybercriminalité, soutenue par des partenaires privés et des ateliers de formation ciblés. Bilan global : 1 209 arrestations, près de 88 000 victimes concernées, 97,4 M$ récupérés et 11 432 infrastructures malveillantes démantelées. Les menaces visées incluent ransomware, arnaques en ligne et Business Email Compromise (BEC). Des renseignements (IPs, domaines, serveurs C2) ont été partagés en amont pour guider les interventions. 🔐 ...