Phishing

Selon ReliaQuest, une nouvelle campagne du collectif « Scattered Lapsus$ Hunters » cible les utilisateurs de Zendesk via une infrastructure de domaines typosquattés et des techniques de phishing multi‑volets. ReliaQuest a identifié plus de 40 domaines typosquattés/imitant des environnements Zendesk (ex. znedesk[.]com, vpn-zendesk[.]com) créés au cours des six derniers mois. Plusieurs hébergent des faux portails SSO affichés avant l’authentification Zendesk, visant le vol d’identifiants. Certains domaines combinent le nom de plusieurs organisations pour accroître la crédibilité. Des similarités avec une campagne d’août 2025 contre Salesforce sont relevées (formatage des domaines, caractéristiques d’enregistrement, portails SSO trompeurs). ...

Source: OpenAI — OpenAI détaille un incident de sécurité survenu chez son fournisseur d’analytique web Mixpanel, utilisé sur l’interface frontend de sa plateforme API (platform.openai.com). L’incident, daté du 9 novembre 2025 chez Mixpanel, a conduit à l’export d’un jeu de données contenant des informations identifiables limitées et des données d’analytique. OpenAI précise qu’il ne s’agit pas d’une compromission de ses propres systèmes et que les utilisateurs de ChatGPT et autres produits ne sont pas affectés. Aucune donnée de chat, requête API, métrique d’usage API, mot de passe, identifiant, clé API, information de paiement ou pièce d’identité n’a été exposée; les jetons de session/authentification et paramètres sensibles n’ont pas été impactés. ...

Selon un article de presse en allemand, plusieurs élus du Grand Conseil de Bâle (Suisse) ont été visés par une tentative de phishing, présentée comme un nouvel épisode dans une série de cyberattaques. Phishing ciblant plus de 40 élus du Grand Conseil de Bâle 1. Une attaque de phishing «täuschend echt» Plus de 40 membres du Grand Conseil bâlois ont reçu ces dernières semaines des emails de phishing très crédibles. Les messages semblaient envoyés par : ...

Source: National Cyber Security Centre (NCSC, Suisse) — Semi-Annual Report 2025/I (janvier–juin 2025). Le NCSC constate un volume d’incidents stabilisé à un niveau élevé (35 727 signalements, dont 58 % de fraude) et une situation globale relativement stable malgré l’innovation des attaquants. Les thèmes majeurs restent phishing, malware/ransomware, vulnérabilités, fraude et ingénierie sociale, DDoS hacktiviste, fuites/exfiltration et cyberespionnage. Depuis le 1er avril 2025, le signalement obligatoire pour les infrastructures critiques est en vigueur. ...

Source et contexte — ThinkstScapes (Thinkst) publie son édition Q3 2025, un panorama des travaux de sécurité présentés et publiés entre juillet et septembre 2025 (USENIX Security, DEF CON, Black Hat, etc.), structuré autour de quatre thèmes majeurs et d’un volet « Nifty sundries ». • Microsoft-induced security woes. Le numéro détaille une vulnérabilité critique d’Azure/Entra ID via des Actor tokens permettant l’usurpation inter‑tenant d’utilisateurs (jusqu’au Global Admin), en modifiant des parties non signées du JWT et en retrouvant le nameid, le tout sans logs ni rate‑limit. Il montre aussi comment exploiter la page légitime login.microsoftonline.com pour du phishing (tenants contrôlés, pass‑through vers AD on‑prem compromis, branding trompeur, contournement de certaines MFA) en conservant l’URL Microsoft. Côté Windows, « RPC‑Racer » enregistre des endpoints RPC avant les services légitimes pour coercer NTLM via chemins UNC et escalader jusqu’à compromettre un DC. Enfin, des collisions de noms de domaine internes avec des gTLD (.llc, .ad) et des typos NS exposent des hashes NTLM et du trafic à des domaines publics contrôlés par un attaquant. ...

Netcraft publie une analyse détaillée d’une campagne de phishing visant les voyageurs et clients d’hôtels, conduite depuis début 2025 par un acteur russophone. L’opération s’appuie sur un kit de phishing sophistiqué qui personnalise dynamiquement les pages en fonction d’un code unique dans l’URL et imite des marques majeures comme Airbnb et Booking.com. • Aperçu de la menace. L’attaque cible des personnes ayant (ou semblant avoir) des réservations via des emails malveillants transitant par le service “Want Your Feedback”. Les pages sont traduites en 43 langues, ajustent format de date, devise et marque selon un “AD_CODE” et affichent une fausse assistance chat. ...

Selon BleepingComputer, la NCSC (Centre national suisse pour la cybersécurité) avertit les propriétaires d’iPhone d’une campagne de phishing en cours. ⚠️ Des messages prétendent avoir retrouvé un iPhone perdu ou volé, mais redirigent en réalité les victimes vers des pages destinées à dérober leurs identifiants Apple ID. Source : Centre national pour la cybersécurité (NCSC) — novembre 2025 Type de menace : phishing / smishing ciblé sur Apple ID Cible : utilisateurs d’iPhone signalés perdus ou volés via Find My ...

Selon TechCrunch, le Congressional Budget Office (CBO) a confirmé avoir été victime d’une intrusion et indique avoir contenu l’incident, renforcé la surveillance et déployé de nouveaux contrôles de sécurité durant l’enquête en cours. Le CBO, agence non partisane fournissant des analyses économiques au Congrès, aurait vu des e-mails internes, des journaux de discussion et des communications entre bureaux parlementaires et chercheurs du CBO potentiellement consultés, d’après le Washington Post qui a révélé l’affaire. ...

Source et contexte — Google Threat Intelligence Group (GTIG), novembre 2025: ce rapport met à jour l’analyse de janvier 2025 sur la « mauvaise utilisation des IA génératives » et documente l’intégration active d’IA dans des opérations réelles, depuis la reconnaissance jusqu’à l’exfiltration. • Points clés: GTIG rapporte les premiers cas de malwares utilisant des LLM en cours d’exécution (« just-in-time »), l’usage de prétextes de type ingénierie sociale pour contourner les garde-fous, la montée d’un marché cybercriminel d’outils IA multifonctions, et l’emploi d’IA par des acteurs étatiques (Chine, Iran, Corée du Nord, Russie) sur l’ensemble du cycle d’attaque. ...

Source et contexte: Sekoia.io publie une analyse TDR d’une campagne active depuis au moins avril 2025, identifiée comme « I Paid Twice », visant les établissements hôteliers et leurs clients via des compromissions de comptes Booking.com et des leurres de paiement. 🔎 Vecteur initial et infrastructure: Des emails malveillants provenant d’adresses compromises (parfois usurpant Booking.com) redirigent vers une chaîne de pages et scripts JavaScript menant à la tactique de social engineering « ClickFix ». Un service de redirection type TDS masque l’infrastructure et résiste aux takedowns. Les pages imitent l’extranet Booking (motifs d’URL admin/extranet) et poussent l’utilisateur à copier/exec un one‑liner PowerShell. ...