Phishing

🔍 Contexte Rapid7 a publié le 16 avril 2026 une analyse technique d’une campagne de phishing de type ClickFix détectée le 9 avril 2026 auprès de clients situés dans l’Union Européenne et aux États-Unis. La campagne présentait peu de visibilité sur VirusTotal au moment de sa découverte. 🎯 Vecteur d’attaque La campagne se distingue par l’usurpation de l’identité de Claude, l’assistant IA d’Anthropic. Un faux installateur MSIX (claude.msixbundle) était servi depuis le domaine download-version[.]1-5-8[.]com. L’exécution initiale passait par mshta lancé via l’utilitaire Windows Run, enregistré dans la clé de registre RunMRU. ...

📰 Contexte Source : TechCrunch — Article publié le 13 avril 2026. Booking.com, plateforme mondiale de réservation hôtelière revendiquant 6,8 milliards de réservations depuis 2010, a officiellement confirmé une violation de données affectant des informations personnelles de clients. 🔓 Nature de l’incident Des tiers non autorisés ont accédé à des informations de réservation de clients. Les données compromises incluent : Noms Adresses email Numéros de téléphone Détails de réservation Informations partagées avec l’hébergement La porte-parole Courtney Camp a précisé que les informations financières n’ont pas été accédées et que les adresses physiques n’ont pas été dérobées. ...

🔍 Contexte Publié le 10 avril 2026 par Flashpoint, cet article de threat intelligence présente une analyse approfondie de l’écosystème Phishing-as-a-Service (PhaaS), réalisée en collaboration avec des institutions financières partenaires. Il décrit la transformation du phishing d’une tactique isolée en un modèle économique cybercriminel industrialisé. 🏗️ Structure de l’écosystème PhaaS Le PhaaS moderne fonctionne comme une plateforme SaaS légitime : Abonnements à partir de 10 USD pour des kits basiques Templates préconçus pour usurper des marques connues Mécanismes de livraison intégrés : email, SMS, QR phishing Dashboards en temps réel pour le suivi des campagnes et la collecte de credentials Le pipeline d’attaque implique des acteurs spécialisés : développeurs de kits, fournisseurs d’infrastructure, services de livraison SMS, et acteurs de monétisation. ...

📅 Source : Clubic, publié le 5 avril 2026. Contexte La SNCF a diffusé un courrier électronique d’alerte à ses voyageurs pour les prévenir de campagnes malveillantes actives usurpant l’identité de SNCF Connect. Ces campagnes sont diffusées via plusieurs canaux : e-mail, SMS (SMiShing), Messenger et WhatsApp. Techniques d’attaque observées Reproduction fidèle du logo, des couleurs et de la mise en page des communications officielles SNCF Connect Fausses promotions : réduction de 95% sur la Carte Avantage, valable 48 heures, incitant à cliquer en urgence Prétexte de remboursement : exploitation de grèves ou perturbations récentes pour soutirer des coordonnées bancaires SMiShing : envoi de SMS frauduleux Faux comptes sur Messenger et WhatsApp se faisant passer pour SNCF Connect Reproduction de l’apparence de l’application mobile SNCF Connect Objectif des attaquants Vol de données personnelles et de coordonnées bancaires des victimes. ...

🔍 Contexte Publié le 7 avril 2026 par Cisco Talos (Diana Brown), cet article documente une augmentation d’activité malveillante exploitant les pipelines de notification de plateformes SaaS populaires (GitHub et Atlassian Jira) pour distribuer des emails de spam et de phishing à grande échelle. ⚙️ Technique : Platform-as-a-Proxy (PaaP) Les attaquants exploitent une technique nommée Platform-as-a-Proxy (PaaP) : en abusant des fonctionnalités natives de notification des plateformes SaaS, les emails malveillants sont émis depuis l’infrastructure légitime des fournisseurs, satisfaisant automatiquement les contrôles SPF, DKIM et DMARC. Cela neutralise les principaux mécanismes de filtrage email basés sur la réputation. ...

📰 Source : BleepingComputer | Date : 8 avril 2026 | Auteur de référence : Austin Larsen, analyste principal chez Google Threat Intelligence Group (GTIG) 🎯 Contexte général Le groupe de menace UNC6783 mène des campagnes ciblant des prestataires de services externalisés (BPO) afin d’atteindre indirectement des entreprises de grande valeur dans plusieurs secteurs. Selon GTIG, des dizaines d’entités ont été compromises dans le but d’exfiltrer des données sensibles à des fins d’extorsion. ...

📰 Source : BleepingComputer — Date de publication : 5 avril 2026 Une nouvelle campagne de smishing (phishing par SMS) cible des résidents de plusieurs États américains en usurpant l’identité de tribunaux d’État. Les messages frauduleux se présentent comme des « Notice of Default » concernant des infractions routières non réglées, et incluent une image d’un faux avis de tribunal contenant un QR code embarqué. 🎯 États ciblés identifiés : New York, Californie, Caroline du Nord, Illinois, Virginie, Texas, Connecticut, New Jersey 🔗 Chaîne d’infection : ...

📰 Source : Politico.eu — Article de presse, publié le 1er avril 2026, par Zoya Sheftalovich, Sam Clark et Sebastian Starcevic. 🔍 Contexte général La Commission européenne a demandé à certains de ses hauts fonctionnaires (chefs de département et leurs adjoints) de supprimer un groupe Signal qu’ils utilisaient pour échanger des informations. Cette décision intervient dans un contexte de série de cyberattaques visant les communications internes de l’institution. ⚠️ Incidents identifiés ...

🎯 Contexte Article publié le 30 mars 2026 par Sublime Security (Brandon Murphy), dans le cadre de leur série « Attack Spotlight ». Il décrit une campagne de phishing de credentials en cours, usurpant l’identité de Google Careers, détectée sur les environnements Google Workspace et Microsoft 365. 📧 Mécanisme d’attaque La campagne débute par un email imitant un recruteur Google Careers proposant un entretien. Le flux d’attaque est le suivant : ...

🔍 Contexte Publié le 4 avril 2026 par CERT Polska, cet article présente une analyse technique approfondie d’un malware Android inédit baptisé cifrat (dérivé du nom de package io.cifnzm.utility67pu), distribué via une infrastructure d’hameçonnage imitant Booking.com. 🎣 Vecteur d’infection initial La chaîne d’infection débute par un email de phishing incitant la victime à cliquer sur un lien qui redirige successivement via : share.google/Yc9fcYQCgnKxNfRmH booking.interaction.lat/starting/ Cette page présente une fausse invite de mise à jour de sécurité Booking.com et déclenche le téléchargement d’un APK malveillant : com.pulsebookmanager.helper.apk. ...