BEC

🗓️ Contexte Source : BBC News, publié le 23 avril 2026. Le Sri Lanka a officiellement lancé une enquête après la découverte d’une cyberattaque ayant conduit au détournement de 2,5 millions de dollars (1,8 million de livres sterling) depuis les systèmes informatiques du ministère des Finances. 🎯 Nature de l’attaque Les enquêteurs estiment que les cybercriminels ont manipulé des instructions de paiement transmises par email dans le cadre du processus de règlement de la dette souveraine. Les fonds, destinés à l’Australie dans le cadre d’un remboursement bilatéral dont l’échéance était fixée à septembre 2025, ont été redirigés vers des comptes bancaires non autorisés. Le détournement aurait eu lieu en janvier 2026, mais n’a été découvert que lorsque le créancier australien a signalé ne pas avoir reçu le paiement. ...

📰 Source : Sekoia TDR (blog.sekoia.io) — Date de publication : 7 avril 2026 (rapport FLINT TLP:AMBER distribué le 30 mars 2026) Contexte EvilTokens est un kit de Phishing-as-a-Service (PhaaS) apparu depuis mi-février 2026, spécialisé dans le device code phishing Microsoft et la fraude BEC (Business Email Compromise). Cet article constitue la partie 2 d’une analyse technique approfondie publiée par l’équipe TDR de Sekoia. Fonctionnement du PhaaS Le service est opéré via Telegram par l’administrateur eviltokensadmin, qui propose trois produits : ...

📰 Source : The Register | Date : 9 avril 2026 | Contexte : Annonce officielle de Zephyr Energy plc, société pétrolière et gazière cotée à Londres, opérant dans la région des Rocheuses américaines. 🎯 Nature de l’incident Une filiale américaine de Zephyr Energy a été victime d’une fraude au virement bancaire (Business Email Compromise ou attaque similaire), dans laquelle un paiement destiné à un sous-traitant a été redirigé vers un compte bancaire contrôlé par les attaquants. Le montant détourné s’élève à environ 700 000 £. ...

🔍 Contexte Rapport publié par Sekoia Threat Detection & Research (TDR) le 30 mars 2026, initialement distribué en privé le 25 mars 2026. L’analyse porte sur EvilTokens, un nouveau kit de Phishing-as-a-Service (PhaaS) découvert en mars 2026 via la surveillance de communautés cybercriminelles axées sur le phishing. 🎯 Description de la menace EvilTokens est un kit PhaaS clé en main ciblant Microsoft 365 via la technique de device code phishing, exploitant le flux OAuth 2.0 Device Authorization Grant. Contrairement aux plateformes AitM classiques, EvilTokens incite les victimes à entrer un code utilisateur sur la page légitime de Microsoft, permettant à l’attaquant de récupérer des access tokens et refresh tokens valides. ...

🌐 Contexte Cet article est publié le 24 mars 2026 par CrowdStrike sur son blog officiel. Il analyse l’impact de l’opération de démantèlement de Tycoon2FA, une plateforme Phishing-as-a-Service (PhaaS) par abonnement, annoncée par Europol le 4 mars 2026. 🎯 Description de la menace Tycoon2FA est opérationnelle depuis 2023. Elle fournit un kit de phishing basé sur des techniques adversary-in-the-middle (AITM) permettant de contourner l’authentification multifacteur (MFA). En mi-2025, elle était responsable de 62% de toutes les tentatives de phishing bloquées par Microsoft et aurait généré plus de 30 millions d’emails malveillants en un seul mois. ...

Source: Microsoft Defender Security Research Team. Contexte: les chercheurs détaillent une campagne multi-étapes d’AiTM phishing évoluant vers des activités de BEC contre plusieurs organisations du secteur de l’énergie, abusant de SharePoint pour la livraison et s’appuyant sur des règles de messagerie pour la persistance et l’évasion. Résumé opérationnel: Les attaquants ont initialement exploité une identité de tiers de confiance compromise pour envoyer un lien SharePoint légitime nécessitant authentification, mimant les workflows de partage SharePoint. Après clic, la chaîne a inclus une attaque AiTM (vol/usage de cookies de session) et la création de règles supprimant et marquant comme lus les emails entrants, afin de masquer l’activité. Les comptes compromis ont servi à une campagne de phishing à grande échelle (>600 emails) vers contacts internes/externes et listes de distribution, sélectionnés depuis les fils récents. Les opérateurs ont ensuite mené des tactiques BEC: surveillance des NDR/OOO, suppression des traces, réponses rassurantes aux doutes, puis poursuite des compromissions en chaîne via de nouveaux clics. Détections et réponses Microsoft Defender XDR: ...

Source: Microsoft Threat Intelligence — Microsoft détaille l’essor de RedVDS, un marché criminel de VDS/RDP Windows clonés, utilisé par de multiples acteurs financiers (Storm‑0259, Storm‑2227, Storm‑1575, Storm‑1747, etc.) pour des opérations de phishing, account takeover et BEC à l’échelle mondiale. En coopération avec des forces de l’ordre, la Digital Crimes Unit (DCU) a récemment facilité une perturbation de l’infrastructure RedVDS. Microsoft relie ces activités à environ 40 M$ de pertes signalées aux États‑Unis depuis mars 2025. ...

Source: Microsoft (Digital Crimes Unit) — Microsoft annonce une action juridique coordonnée aux États-Unis et, pour la première fois, au Royaume‑Uni, appuyée par des autorités allemandes et Europol, pour perturber RedVDS, un service d’abonnement fournissant des ordinateurs virtuels jetables utilisés dans des fraudes massives. L’opération a permis la saisie d’infrastructures clés et la mise hors ligne de la place de marché RedVDS. RedVDS s’inscrit dans l’écosystème cybercrime-as-a-service en offrant, dès 24 USD par mois, des machines virtuelles discrètes et éphémères fonctionnant avec des logiciels non licenciés, dont Windows. Ce service a été massivement exploité pour envoyer des campagnes de phishing à haut volume, héberger de l’infrastructure de scam, et faciliter des fraudes assistées par IA générative (face swap, manipulation vidéo, clonage de voix). En un mois, plus de 2 600 VM RedVDS ont expédié en moyenne 1 million d’e‑mails de phishing par jour vers des clients Microsoft (sur les 600 millions d’attaques bloquées quotidiennement), contribuant depuis septembre 2025 à plus de 191 000 compromissions ou accès frauduleux d’organisations. ...

Selon Interpol, l’initiative coordonnée « Opération Sentinel » menée entre le 27 octobre et le 27 novembre, avec la participation de 19 pays, a visé des affaires de compromission de courriels professionnels (BEC), d’extorsion et de ransomware. 🚔 Résultats clés: 574 arrestations et 3 millions de dollars récupérés. 🌐 Disruption: plus de 6 000 liens malveillants démantelés. 🔐 Ransomware: six variantes distinctes déchiffrées. 💰 Impact financier: des cas liés à plus de 21 millions de dollars de pertes. Interpol met en avant plusieurs succès majeurs obtenus durant l’opération : ...

Source: ENISA (European Union Agency for Cybersecurity) — Contexte: publication de l’ENISA Threat Landscape 2024 (période couverte: juillet 2023 à juin 2024, sortie en septembre 2024). Le rapport met en avant 7/8 menaces « prime » avec les menaces contre la disponibilité (DDoS) et le ransomware en tête, suivis des menaces contre les données, malwares, ingénierie sociale, manipulation de l’information et chaîne d’approvisionnement. ENISA indique avoir observé 11 079 incidents (dont 322 visant plusieurs États membres), avec une hausse notable des événements dans l’UE au 1er semestre 2024. ...