Phishing

📰 Source : ASCII.jp — Article publié le 5 octobre 2026, relatant une annonce officielle du groupe Nihon Keizai Shimbun (Nikkei) datée du 4 octobre 2026. 🎯 Nature de l’incident Le groupe de presse Nihon Keizai Shimbun (Nikkei) a annoncé avoir été victime de deux incidents de compromission de comptes cloud distincts affectant ses employés : Microsoft 365 : Un ou plusieurs comptes d’employés ont été compromis par un tiers non autorisé, entraînant l’envoi d’environ 9000 e-mails frauduleux usurpant l’identité de ces employés. Nikkei a procédé à un changement de mot de passe et indique qu’aucun accès non autorisé supplémentaire n’a été détecté depuis. Google Workspace : Des connexions non autorisées depuis l’extérieur ont été détectées à partir de fin juillet, conduisant à la fuite potentielle de données personnelles de 1646 personnes (adresses e-mail, noms, et autres informations d’employés et de partenaires commerciaux). L’incident a été découvert suite à une notification de Google début août. Le mot de passe a été changé et aucun accès non autorisé ultérieur n’a été constaté. 📊 Impact ...

📌 Contexte : Le 29 septembre 2026, Microsoft Threat Intelligence publie une analyse technique détaillée de l’évolution des tactiques de Star Blizzard, acteur étatique russe affilié au FSB Centre 18, depuis janvier 2026. 🎯 Ciblage : Les campagnes RedFlick ont visé plus de 100 organisations principalement aux États-Unis et au Royaume-Uni, incluant des individus et institutions ukrainiens, des ONG internationales, des think tanks, des gouvernements, des institutions financières et des organisations diplomatiques soutenant l’Ukraine. ...

🔍 Contexte Source : KitGuru (kitguru.net), publié le 23 septembre 2026. ASUS a notifié par email ses clients enregistrés sur son eshop d’un incident de sécurité impliquant un accès non autorisé à une partie de son environnement de boutique en ligne. 📋 Nature de l’incident ASUS a identifié un accès non autorisé à une partie de l’environnement ASUS eShop. Les données potentiellement compromises incluent : Informations de contact clients (noms, coordonnées) Enregistrements de commandes Aucune donnée financière n’a été touchée : aucune carte de paiement, compte bancaire ou autre information financière n’est impliquée. ...

🔍 Contexte Publié le 22 septembre 2026 par D3Lab (source : d3lab.net), cet article documente une campagne de phishing ciblant des utilisateurs italiens via l’usurpation du service SEND (plateforme de notifications officielles de pagoPA), combinée à une chaîne d’exploitation iOS délivrée silencieusement. 🎣 Mécanisme de phishing La page frauduleuse reproduit l’identité visuelle du portail SEND pour inciter les victimes à interagir. Elle intègre : Un faux CAPTCHA anti-bot (aucune vérification réelle, simple ajout de paramètre URL) Une application monopage impersonnant SEND, utilisant Socket.IO pour un contrôle interactif en temps réel Des modules de collecte de données personnelles (cartes bancaires, codes de vérification, adresses, téléphones) 💥 Chaîne d’exploit iOS via iframe Un iframe charge silencieusement une ressource depuis 186.244.241.174 qui exécute une chaîne d’exploitation en trois étapes contre Safari/WebKit : ...

🔍 Contexte Publié le 22 septembre 2026 sur le blog d’ANY.RUN, cet article présente une analyse technique approfondie de CSuite, une opération de phishing et d’accès distant active de février 2026 au 3 septembre 2026, ciblant principalement des organisations américaines (60% des victimes identifiées) et européennes. 🎯 Description de la menace CSuite est une opération structurée autour d’un modèle fournisseur/affiliés : le fournisseur distribue l’hébergement, les outils d’accès distant et les domaines via des canaux de messagerie privés, chaque affilié gérant son propre endpoint d’exfiltration. ...

🔍 Contexte Publié le 9 septembre 2026 par Sarah Reddish sur le blog Huntress, cet article présente l’analyse technique de deux incidents détectés par le SOC Huntress en août 2026. Les deux attaques partagent la même chaîne d’infection et les mêmes leurres visuels. 🎣 Vecteur initial et technique BiTB Les deux incidents débutent par un email de phishing (via Gmail pour l’incident 1, via AT&T Office@Hand/RingCentral pour l’incident 2). Les victimes sont redirigées vers des pages contrôlées par l’attaquant qui utilisent la technique Browser-in-the-Browser (BiTB) : une fausse fenêtre de navigateur est rendue dans le contenu de la page web (HTML/CSS/JavaScript), affichant un domaine Adobe légitime (get.adobe.com) dans une barre d’adresse factice, contournant ainsi les réflexes de vérification des utilisateurs. ...

🔍 Contexte Source : Barracuda Networks (fr.blog.barracuda.com), publié le 9 septembre 2026. Les chercheurs de Barracuda ont analysé une campagne de phishing innovante qui abandonne le modèle classique de la page hébergée sur un serveur au profit d’une architecture entièrement résidente dans le navigateur de la victime. ⚙️ Mécanisme d’attaque La chaîne d’attaque repose sur plusieurs composants enchaînés : Email DocuSign-themed envoyé à la victime avec une pièce jointe de type invitation calendrier (fichier .ics ou similaire), pointant vers un endpoint Microsoft OAuth légitime Un paramètre de redirection crafté route l’utilisateur vers Microsoft Teams Microsoft Teams charge une ressource externe hébergée sur cdn.bloom[.]io Le navigateur convertit ce contenu en blob URL (URL temporaire pointant vers du contenu stocké en mémoire locale) La blob URL rend la page de phishing localement dans le navigateur Des service workers, des iframes sandboxées et une infrastructure backend gèrent le workflow de phishing et la navigation de l’utilisateur Une configuration C2 cachée révèle que la page fait partie d’une plateforme de phishing managée, opérable et modifiable en temps réel 🎯 Caractéristiques distinctives Aucune page de phishing hébergée : le contenu malveillant n’existe que dans la session navigateur de la victime, rendant impossible le blocklist préalable Infrastructure Microsoft légitime tout au long de la chaîne (login.microsoftonline.com, Microsoft Teams), réduisant les signaux d’alerte visibles Contrôle dynamique via des mécanismes de messagerie navigateur, permettant aux opérateurs de modifier les destinations et comportements en temps réel Leurre de légitimité via la pièce jointe calendrier, imitant une communication professionnelle ordinaire 📌 Type d’article Il s’agit d’une analyse technique publiée par un éditeur de sécurité, visant à documenter une technique de phishing émergente et à sensibiliser les équipes de sécurité aux nouvelles méthodes d’évasion basées sur le navigateur. ...

🔍 Contexte Publié le 13 août 2026 et mis à jour le 4 septembre 2026 sur le blog officiel de Trezor, cet article annonce une violation de données survenue chez ShipMonk, prestataire logistique tiers de Trezor, découverte le 10 août 2026. 📋 Nature de l’incident Un acteur non autorisé a accédé aux systèmes de ShipMonk contenant des données clients de Trezor. L’incident a exposé les informations suivantes : Nom complet Adresse email Numéro de téléphone Adresse de livraison Numéro de commande 👥 Périmètre des victimes Au total, 80 689 clients sont affectés, répartis comme suit : ...

🔍 Contexte Analyse publiée le 4 septembre 2026 par le KnowBe4 Threat Lab (analystes Prabhakaran Ravichandhiran et Jeewan Singh Jalal). Il s’agit d’une campagne de phishing active à grande échelle, ciblant des organisations dans les secteurs manufacturier, gouvernemental, financier et associatif à l’échelle mondiale. ⚙️ Mécanisme d’attaque La campagne repose sur une chaîne de redirections multi-sauts exploitant exclusivement des services Google légitimes avant d’atteindre l’infrastructure attaquante : meet.google.com/linkredirect (open redirect via paramètre dest=) www.google.com/url?q= (open redirect Google Search) adservice.google.com.ph/ddm/clk/ (DoubleClick Marketing Manager, ccTLD Philippines) cse.google.com/url (Custom Search Engine open redirect) images.google.com.bd / images.google.dj (variantes ccTLD Google Image Search) googletagmanager.com/debug/clearcookies?url= (endpoint debug GTM) analytics.google.com avec paramètre dl= (endpoint Analytics détourné) L’adresse email de la victime est encodée en base64 dans le fragment URL (#), invisible aux logs serveur et aux scanners d’URL. ...

🔍 Contexte Publié le 5 septembre 2026 par Huntress, cet article détaille une campagne de phishing active exploitant Faronics Deploy, une plateforme légitime de gestion d’endpoints, pour établir un accès distant non autorisé sur des systèmes victimes. 📊 Ampleur de la campagne Huntress a observé plus de 457 endpoints exposés à des leurres liés à Faronics entre le 21 juillet et le 20 août. L’activité a chuté dramatiquement à partir du 21 août après que Faronics a mis en place des mesures de disruption. ...