Phishing

🔍 Contexte Publié le 9 septembre 2026 par Sarah Reddish sur le blog Huntress, cet article présente l’analyse technique de deux incidents détectés par le SOC Huntress en août 2026. Les deux attaques partagent la même chaîne d’infection et les mêmes leurres visuels. 🎣 Vecteur initial et technique BiTB Les deux incidents débutent par un email de phishing (via Gmail pour l’incident 1, via AT&T Office@Hand/RingCentral pour l’incident 2). Les victimes sont redirigées vers des pages contrôlées par l’attaquant qui utilisent la technique Browser-in-the-Browser (BiTB) : une fausse fenêtre de navigateur est rendue dans le contenu de la page web (HTML/CSS/JavaScript), affichant un domaine Adobe légitime (get.adobe.com) dans une barre d’adresse factice, contournant ainsi les réflexes de vérification des utilisateurs. ...

🔍 Contexte Source : Barracuda Networks (fr.blog.barracuda.com), publié le 9 septembre 2026. Les chercheurs de Barracuda ont analysé une campagne de phishing innovante qui abandonne le modèle classique de la page hébergée sur un serveur au profit d’une architecture entièrement résidente dans le navigateur de la victime. ⚙️ Mécanisme d’attaque La chaîne d’attaque repose sur plusieurs composants enchaînés : Email DocuSign-themed envoyé à la victime avec une pièce jointe de type invitation calendrier (fichier .ics ou similaire), pointant vers un endpoint Microsoft OAuth légitime Un paramètre de redirection crafté route l’utilisateur vers Microsoft Teams Microsoft Teams charge une ressource externe hébergée sur cdn.bloom[.]io Le navigateur convertit ce contenu en blob URL (URL temporaire pointant vers du contenu stocké en mémoire locale) La blob URL rend la page de phishing localement dans le navigateur Des service workers, des iframes sandboxées et une infrastructure backend gèrent le workflow de phishing et la navigation de l’utilisateur Une configuration C2 cachée révèle que la page fait partie d’une plateforme de phishing managée, opérable et modifiable en temps réel 🎯 Caractéristiques distinctives Aucune page de phishing hébergée : le contenu malveillant n’existe que dans la session navigateur de la victime, rendant impossible le blocklist préalable Infrastructure Microsoft légitime tout au long de la chaîne (login.microsoftonline.com, Microsoft Teams), réduisant les signaux d’alerte visibles Contrôle dynamique via des mécanismes de messagerie navigateur, permettant aux opérateurs de modifier les destinations et comportements en temps réel Leurre de légitimité via la pièce jointe calendrier, imitant une communication professionnelle ordinaire 📌 Type d’article Il s’agit d’une analyse technique publiée par un éditeur de sécurité, visant à documenter une technique de phishing émergente et à sensibiliser les équipes de sécurité aux nouvelles méthodes d’évasion basées sur le navigateur. ...

🔍 Contexte Publié le 13 août 2026 et mis à jour le 4 septembre 2026 sur le blog officiel de Trezor, cet article annonce une violation de données survenue chez ShipMonk, prestataire logistique tiers de Trezor, découverte le 10 août 2026. 📋 Nature de l’incident Un acteur non autorisé a accédé aux systèmes de ShipMonk contenant des données clients de Trezor. L’incident a exposé les informations suivantes : Nom complet Adresse email Numéro de téléphone Adresse de livraison Numéro de commande 👥 Périmètre des victimes Au total, 80 689 clients sont affectés, répartis comme suit : ...

🔍 Contexte Analyse publiée le 4 septembre 2026 par le KnowBe4 Threat Lab (analystes Prabhakaran Ravichandhiran et Jeewan Singh Jalal). Il s’agit d’une campagne de phishing active à grande échelle, ciblant des organisations dans les secteurs manufacturier, gouvernemental, financier et associatif à l’échelle mondiale. ⚙️ Mécanisme d’attaque La campagne repose sur une chaîne de redirections multi-sauts exploitant exclusivement des services Google légitimes avant d’atteindre l’infrastructure attaquante : meet.google.com/linkredirect (open redirect via paramètre dest=) www.google.com/url?q= (open redirect Google Search) adservice.google.com.ph/ddm/clk/ (DoubleClick Marketing Manager, ccTLD Philippines) cse.google.com/url (Custom Search Engine open redirect) images.google.com.bd / images.google.dj (variantes ccTLD Google Image Search) googletagmanager.com/debug/clearcookies?url= (endpoint debug GTM) analytics.google.com avec paramètre dl= (endpoint Analytics détourné) L’adresse email de la victime est encodée en base64 dans le fragment URL (#), invisible aux logs serveur et aux scanners d’URL. ...

🔍 Contexte Publié le 5 septembre 2026 par Huntress, cet article détaille une campagne de phishing active exploitant Faronics Deploy, une plateforme légitime de gestion d’endpoints, pour établir un accès distant non autorisé sur des systèmes victimes. 📊 Ampleur de la campagne Huntress a observé plus de 457 endpoints exposés à des leurres liés à Faronics entre le 21 juillet et le 20 août. L’activité a chuté dramatiquement à partir du 21 août après que Faronics a mis en place des mesures de disruption. ...

📅 Source : Microsoft Security Research (Noam Kochavi, Sarah Wolstencroft), publié le 3 septembre 2026. Contexte Microsoft a identifié une campagne de phishing à très haut volume exploitant une technique d’obfuscation baptisée ASCII smuggling, initialement popularisée dans le domaine de la sécurité des modèles de langage (LLM) et des attaques par injection de prompts. La découverte est issue des travaux de recherche sur la protection contre les injections de prompts dans Microsoft Defender for Office 365. ...

🔍 Contexte Source : BleepingComputer, publié le 29 août 2026. Brave Software annonce la sortie de la version 1.94 de son navigateur, introduisant une nouvelle fonctionnalité de confidentialité : les alias email. 📧 Fonctionnalité Email Aliases La version Brave 1.94 permet aux utilisateurs de générer des adresses email jetables lors de l’inscription à de nouveaux services. Ces alias transmettent les messages vers l’adresse principale sans la révéler aux sites tiers. ...

🔍 Contexte Publié le 25 août 2026 par l’équipe de recherche OX Security, cet article documente une campagne active de phishing distribuée via le registre npm, exploitant les miroirs publics comme infrastructure d’hébergement malveillant. 🎯 Technique d’attaque Les attaquants publient des packages npm contenant une unique page HTML simulant une fausse vérification Cloudflare CAPTCHA. L’objectif n’est pas d’infecter les développeurs qui installent le package, mais d’utiliser les miroirs npm (unpkg, yarn, npmmirror, tencent) comme hébergeurs gratuits et de confiance pour des pages de phishing rendues directement dans le navigateur. ...

📰 Source : ICT Journal | Date de publication : 21 août 2026 | Lieu : Martigny-Combe, Valais, Suisse 🔓 La commune de Martigny-Combe (Valais) a détecté le 18 août 2026 un accès non autorisé à la messagerie professionnelle de son secrétariat communal. Cet accès a permis à un tiers malveillant d’envoyer un message frauduleux à des contacts de l’administration. ⚠️ L’incident pourrait avoir entraîné la divulgation de données personnelles contenues dans la messagerie compromise. Les risques identifiés par la commune incluent : ...

📰 Source : Tom’s Guide France — Article publié le 18 août 2026, relatant une campagne de phishing active ciblant les abonnés de Bouygues Telecom en France. 🔓 Contexte de la fuite de données : L’été 2025, Bouygues Telecom a subi une cyberattaque massive ayant entraîné le vol de données personnelles de ses abonnés, incluant notamment leurs IBAN et BIC. 🎣 Campagne de phishing en cours : Des courriels frauduleux se faisant passer pour la plateforme Classplus (sous le nom « Classplus Pro ») sont envoyés aux abonnés Bouygues Telecom. Ces messages : ...