Le fait

Ce que la victime ne voit pas : à la seconde où elle valide, ses données partent vers un canal Telegram. L’opérateur les reçoit en clair, avec son adresse IP et l’horodatage, dans un format d’une régularité clinique. Entre deux messages, les escrocs discutent et commentent leurs chiffres de la journée.

Notre CTO Cédric Bertrand a construit une chaîne de collecte pour observer ces canaux de façon systématique. Trois jours de collecte : 533 sites de phishing actifs, 1 399 canaux d’exfiltration, 732 opérateurs distincts. L’un d’eux a encaissé 459 victimes en quatre jours avec un seul bot. Une personne toutes les douze minutes, pendant quatre jours, pour une seule équipe parmi 732.

Une réserve d’emblée, parce qu’elle compte : ce qui est mesuré ici, c’est l’infrastructure joignable depuis un navigateur. Les kits qui relaient côté serveur n’apparaissent pas. Le chiffre réel est plus élevé, et personne ne sait de combien.

Ce que ces chiffres disent vraiment

1. Ce n’est pas une série d’incidents. C’est un flux industriel.

Après déduplication, le site médian collecté pèse 0,9 octet. La moitié de ce qui apparaît chaque matin est une copie exacte d’un kit déjà vu, repeint et déposé sur un nouveau nom de domaine. Conséquence directe pour vous : bloquer un domaine de phishing ne produit presque rien. Le même kit ressort le lendemain, ailleurs, sous un autre nom.

2. Un identifiant volé ne circule jamais chez un seul acteur.

1 399 canaux d’exfiltration pour 533 sites : beaucoup de kits envoient les données vers deux ou trois destinations en même temps. L’explication est connue du milieu — celui qui revend le kit y laisse son propre canal. L’escroc du bas de la chaîne travaille, et son fournisseur lui vole sa récolte au passage.

Traduit en risque : quand un identifiant de votre organisation est capté, il arrive simultanément chez plusieurs acteurs qui ne se connaissent pas et n’en feront pas le même usage. Le démantèlement de l’un n’éteint pas le risque.

3. La valeur d’un signalement a une date de péremption.

Des chercheurs ont mesuré l’effet à l’échelle (DarkGram, USENIX Security 2025). Sur 339 canaux Telegram cybercriminels historiques signalés à la plateforme, 19 % ont été supprimés. Sur 196 canaux récents signalés selon la même procédure, 100 % ont été supprimés, en quatre jours de délai médian.

La seule variable qui change entre les deux lots, c’est l’âge : 237 jours de médiane contre 27. Un canal jeune tombe. Un canal installé résiste. Et lorsqu’un canal tombe malgré tout, la moitié de ses abonnés le retrouve ailleurs dans la semaine.

C’est la conclusion la plus importante de l’étude, et elle vaut bien au-delà de Telegram : en matière d’identités compromises, la fraîcheur bat l’exhaustivité. Un identifiant repéré trois jours après le vol, c’est un compte qu’on sécurise avant usage. Le même identifiant six mois plus tard, c’est une ligne dans un rapport.

Pourquoi votre dispositif actuel ne voit pas ça

Ce n’est pas une intrusion. Aucune vulnérabilité exploitée, aucun code malveillant, aucun EDR déclenché. L’utilisateur a saisi ses identifiants de sa propre main, sur son téléphone personnel, un dimanche soir. De votre côté du réseau, il ne s’est rien passé.

Ce n’est pas votre périmètre. La page est hébergée chez un tiers, le canal de collecte est chez Telegram. Aucun scan de votre surface d’attaque ne remontera cette activité — et c’est normal, elle n’a pas lieu chez vous.

Ce n’est pas lisible dans le code. Point contre-intuitif issu des travaux de Cédric : sur 300 kits restés muets à l’analyse, une désobfuscation poussée au maximum en a débloqué zéro. Pas trois, pas dix. Aucun. L’adresse d’exfiltration n’est pas cachée dans la page — elle n’y est pas du tout. Elle se construit à l’exécution, ou elle vit côté serveur. Les outils qui se contentent de lire le code passent structurellement à côté.

Le délai joue contre vous. Entre le vol de l’identifiant et son apparition dans une base de fuites publique, il s’écoule des semaines. L’attaquant, lui, teste le couple e-mail / mot de passe sur vos services dans les heures qui suivent.

Ce que ça change pour vous

Vos collaborateurs utilisent leur adresse professionnelle sur des dizaines de services tiers, et souvent le même mot de passe que sur votre messagerie. Il suffit qu’un seul d’entre eux tombe sur un faux SMS de colis un dimanche soir.

Le scénario qui coûte cher n’est pas le ransomware spectaculaire. C’est le compte de messagerie d’un dirigeant ou d’un comptable, détourné discrètement pendant trois semaines, le temps d’observer vos échanges, d’apprendre vos tournures de phrases et vos circuits de validation — puis d’envoyer une demande de changement de RIB au bon moment, au bon interlocuteur, dans le bon fil de discussion.

Aucun antivirus ne bloque ça : l’attaquant est connecté avec des identifiants valides, les vôtres.

La question à poser à votre DSI ou à votre prestataire cette semaine : combien d’identifiants de notre domaine sont actuellement en circulation, et depuis quand ? Si la réponse est « on ne sait pas », vous venez d’identifier votre angle mort le moins cher à combler.

L’action

Une seule, faisable cette semaine : listez vos domaines de messagerie, y compris ceux que vous n’utilisez plus — anciennes marques, filiales absorbées, domaines de campagne. Ce sont eux qui traînent le plus longtemps dans les bases, parce que plus personne ne les surveille.

Ensuite, la vraie question n’est plus « avons-nous subi une fuite ? », mais « depuis combien de temps un identifiant valide de notre organisation circule-t-il, et chez combien d’acteurs ? ».

Sans compte. Résultats en 15 minutes.

Pour consulter la version technique complète de cet article — méthode de collecte, pièges rencontrés, code — rendez-vous sur la newsletter de Cédric BERTRAND : « J’ai regardé des inconnus se faire voler, en direct », Un mot de passe pourri.

Sources : Un mot de passe pourri, 15/09/2026 — « DarkGram: A Large-Scale Analysis of Cybercriminal Activity Channels on Telegram », Saha Roy et al., 34th USENIX Security Symposium, 2025 — StalkPhish-OSS, Thomas Damonneville, AGPLv3.

L'article 459 victimes en quatre jours : ce que trois jours de collecte sur les kits de phishing nous ont appris a été publié en premier sur CYBERESIST .

Le point de départ est souvent le même : à partir du nom de domaine associé à l’entreprise, il y a tout d’abord une phase passive pour l’audit qui consiste à réaliser une cartographie de toutes les ressources disponibles. Celles-ci sont multiples :

• Liste des domaines
• Applications et serveurs disponibles
• Fuite de données (mots de passe, codes-source, etc.)
• Attaques de phishing en cours
• Shadow-it (équipements cachés / sites oubliés, etc.)

Plus d’infos sur notre audit d’exposition sont disponibles ici.

Parfois les informations découvertes lors de cette phase permettent d’obtenir un accès à des informations confidentielles ou de compromettre un des serveurs de l’organisation auditée. Dans le cas présent, nous allons exploiter une attaque de type credential-stuffing pour accéder à un compte de messagerie de l’entreprise.

Pour rappel les attaques par credential stuffing consiste à récupérer des identifiants volés (compromissions de sites web) qui ont été diffusés et à tenter de les ré-utiliser. Il existe de nombreux services/sites mettant à disposition ce type d’informations. Ce type d’attaque est particulièrement dangereux car il peut permettre d’accéder à des ressources protégées de l’entreprise (messagerie, serveurs, etc.)

Cinétique de l’attaque

Détails de l’attaque
Phase n°1 : Récupération de comptes piratés associés à un domaine.

Une fois ces comptes récupérés, il va s’agir de les tester.

Phase n°2 : Vérification si présence d’Office365

La seconde phase consiste à tester si l’entreprise / domaine possède bien une messagerie sur Office365.

Une fois la présence d’un webmail confirmé, reste à tester liste des logins / mdp récupérée.

Phase n°3 : Tests des comptes

Un compte valide a bien été trouvé. Reste maintenant à l’utiliser pour se connecter au webmail365.

Il s’agit d’un compte générique (certainement partagé vu le mot de passe faible).

Phase n°4 : Connexion avec le compte valide détecté

Il va s’agir maintenant de tester la combinaison valide détectée. Il est possible le compte soit protégé par une authentification forte, ce qui nous empêcherait de l’utiliser.

Pas d’authentification forte, un accès obtenu en quelques minutes à la messagerie de l’entreprise.

Le compte est de toute évidence un compte générique poubelle.

Problème même si ce compte est peu ou pas utilisé, il donne de nombreuses informations à un attaquant : l’ensemble des contacts, liste de diffusion de l’entreprise, contacts téléphoniques, etc.

Très simple pour un attaquant ensuite de faire des messages personnalisés et de viser d’autres adresses de contact.

Suite de l’attaque

Une fois ce compte obtenu, plusieurs options s’offrent aux attaquants :

• Accèder à des données sensibles de l’entreprise, telles que les informations financières, les données clients, les données de propriété intellectuelle et autres informations confidentielles.
• Envoyer des emails frauduleux à des clients (demande de paiement, obtention d’informations sensibles)
• Envoyer des emails frauduleux à d’autres employés (divulgation d’informations sensibles, faire effectuer des tâches)

Concernant la dernière possibilité (envoi d’emails frauduleux à d’autres employés de l’entreprise), c’était l’une des techniques utilisées par le gang du malware Emotet (technique du thread hi-jacking).

Recommandations

Ces recommandations sont similaires à celles déjà décrites pour se prémunir des attaques de credential-stuffing. Il va s’agir de :

• S’auditer (notre service d’audit d’exposition teste ce type d’attaque ainsi que de nombreuses autres)
• Sensibiliser les utilisateurs sur l’utilisation de gestionnaire de mots de passe et sur comment réaliser des mots de passe robustes
• Faire une ville sur les fuites de données (haveIbeenPowned)
• Appliquer l’authentification forte sur tous les comptes utilisant le webmail
  • Attention aux comptes génériques et aux comptes partagés qui ne sont souvent pas protégés correctement et représente une porte d’entrée dans le système d’informations)

L'article Compromission de Compte de Messagerie : Une Étude de Cas Révélatrice en Quelques Minutes a été publié en premier sur CYBERESIST .