Phishing, faux sites et infrastructures compromises : comment les cybercriminels contournent les défenses des entrepr...

L'ÉVOLUTION DE LA CYBERCRIMINALITÉ : PRÉCISION ET ADAPTABILITÉ FACE AUX DÉFENSES D'ENTREPRISES


Le paysage de la cybercriminalité est en constante mutation, se transformant en une véritable économie de services où l'ingéniosité des attaquants défie continuellement les mesures de sécurité traditionnelles. Le récent rapport "2026 Threat Landscape Report" d'Infoblox met en lumière cette transformation, révélant comment les cybercriminels exploitent une combinaison sophistiquée de technologies et de tactiques pour orchestrer des attaques plus rapides, ciblées et difficiles à détecter. Les entreprises ne sont plus seulement vulnérables via leurs propres systèmes, mais aussi à travers leurs marques, leurs partenaires, leurs fournisseurs et même les plateformes légitimes qu'elles utilisent quotidiennement.

La Précision avant la Quantité : Des Attaques Ciblées

Historiquement, de nombreuses attaques de phishing ou de distribution de malwares misaient sur la quantité, en espérant toucher un grand nombre de victimes. Cependant, le rapport d'Infoblox souligne un changement stratégique : les attaquants privilégient désormais la précision à la quantité. Plutôt que de diffuser aveuglément du contenu malveillant, certains groupes d'attaquants adoptent une approche chirurgicale. Ils analysent méticuleusement le profil des visiteurs potentiels, en tenant compte de leur terminal (ordinateur, mobile), leur localisation géographique, leur comportement en ligne ou la source de leur trafic.

Cette analyse approfondie leur permet de rediriger uniquement les profils jugés "intéressants" vers des contenus frauduleux ou des infrastructures compromises. Les autres utilisateurs voient un contenu inoffensif, voire une page d'erreur banale. Cette tactique a un double avantage pour les cybercriminels : elle réduit considérablement les traces numériques et les indicateurs de compromission visibles par les chercheurs en sécurité, les outils de détection automatisés et les équipes de sécurité des entreprises. En minimisant l'exposition de leurs infrastructures malveillantes, ils prolongent la durée de vie de leurs campagnes et augmentent leurs chances de succès contre des cibles spécifiques.

L'Industrialisation des Campagnes Frauduleuses

L'un des aspects les plus préoccupants révélés par le rapport est l'industrialisation des campagnes frauduleuses, rendant leur lancement et leur réplication alarmant de facilité. Un exemple frappant est le détournement de l'infrastructure DCloud Uni-App. Initialement conçu comme un framework légitime de développement multiplateforme, il est désormais utilisé par des acteurs malveillants pour créer à grande échelle des faux sites d'échange de cryptomonnaies, des campagnes de phishing, des plateformes d'investissement frauduleuses, des portefeuilles de cryptomonnaies fictifs et des portails de jeux d'argent illégitimes.

Infoblox a identifié plus de 18 000 domaines frauduleux associés à DCloud depuis janvier 2024, touchant près d'un millier de clients entreprises. Cette capacité à générer rapidement et à moindre coût une multitude de sites d'arnaque représente un défi majeur pour les défenses. La prolifération de ces infrastructures "à la demande" permet aux cybercriminels de lancer des attaques diversifiées et de les adapter rapidement en cas de détection, rendant la traque et le démantèlement d'autant plus complexes.

Les Identités Numériques : Une Cible Précieuse et Multidimensionnelle

La cybercriminalité ne se limite plus au simple vol de mots de passe. Les identités numériques sont devenues une cible à part entière, avec des campagnes de plus en plus sophistiquées visant à collecter un éventail plus large d'informations personnelles. Certaines attaques simulent de faux parcours de vérification d'identité, souvent appelés KYC (Know Your Customer), pour extorquer bien plus que de simples identifiants.

Ces campagnes peuvent chercher à obtenir des codes à usage unique (OTP) reçus par SMS, des empreintes de terminaux uniques, des listes de contacts, et même des données biométriques faciales. Une fois collectées, ces informations permettent aux cybercriminels de contourner des mécanismes de vérification multi-facteurs, de compromettre durablement des comptes d'utilisateurs ou de faciliter des fraudes à grande échelle, comme l'ouverture de comptes bancaires frauduleux ou la prise de contrôle d'identités complètes. La valeur de ces données est immense sur le marché noir, car elles ouvrent la porte à des actions frauduleuses bien plus complexes et lucratives.

Détournement des Infrastructures Publicitaires et de la Supply Chain

Les cybercriminels exploitent également des infrastructures légitimes pour dissimuler leurs activités malveillantes. Les plateformes adtech (technologies publicitaires), avec leurs capacités de ciblage ultra-précises, sont particulièrement visées. Les acteurs malveillants les utilisent pour présenter un contenu inoffensif aux chercheurs en sécurité et aux outils de détection automatisés, tout en servant des escroqueries ou des malwares aux utilisateurs correspondant à des critères spécifiques qu'ils ciblent. Le rapport mentionne notamment l'utilisation abusive de Keitaro Tracker pour orchestrer de telles campagnes de "cloaking" publicitaire.

Parallèlement, la supply chain (chaîne d'approvisionnement) est devenue une surface d'attaque privilégiée. Un site fournisseur compromis peut servir de cheval de Troie pour atteindre des collaborateurs, des clients ou des partenaires de l'entreprise ciblée, qui accordent naturellement leur confiance à ce domaine légitime. Cette méthode permet de contourner les défenses périmétriques traditionnelles de l'organisation principale, car l'attaque provient d'une source "fiable". Il est donc crucial d'étendre la sécurité de la supply chain au-delà des logiciels et des fournisseurs critiques, en incluant également les domaines, les sites web et les infrastructures DNS associés aux partenaires.

L'Importance Cruciale de la Visibilité DNS

Face à ces menaces sophistiquées et souvent dissimulées, la visibilité du DNS (Domain Name System) émerge comme un outil indispensable. Selon Infoblox, l'analyse du trafic DNS permet d'identifier les infrastructures cachées qui soutiennent les campagnes malveillantes. En surveillant les requêtes et les réponses DNS, les équipes de sécurité peuvent détecter les domaines associés à des attaques, les serveurs de noms compromis, les redirections suspectes, les infrastructures de commande et de contrôle (C2) et les liens entre différents sites compromis.

Cette approche proactive permet aux entreprises d'anticiper et de bloquer les communications avec ces infrastructures malveillantes avant qu'elles ne puissent causer des dommages. La surveillance DNS offre une perspective unique sur la chaîne d'attaque, révélant des éléments qui seraient invisibles à d'autres niveaux de défense, et constitue une couche de sécurité fondamentale pour la détection et la prévention des menaces avancées.

En conclusion, le rapport "2026 Threat Landscape Report" d'Infoblox dresse un tableau clair de l'évolution de la cybercriminalité. Les attaquants sont de plus en plus précis, industrialisés et habiles à détourner des infrastructures légitimes. Pour les entreprises, il est impératif d'adopter une stratégie de défense multicouche, incluant une vigilance accrue sur les identités numériques, une sécurisation étendue de la supply chain, et surtout, une exploitation maximale de la visibilité DNS pour détecter les menaces à leur racine. La bataille contre la cybercriminalité est une course à l'innovation, et la capacité d'adaptation des défenses sera la clé de la résilience des organisations.

---

Source : UnderNews - Phishing, faux sites et infrastructures compromises : comment les cybercriminels contournent les défenses des entreprises | UnderNews​