Des cybercriminels exploitent Microsoft et Google pour cibler les entreprises via des attaques de phishing avancées

Introduction

Les cyberattaques par hameçonnage connaissent une évolution inquiétante. Désormais, les cybercriminels ne s’appuient plus sur des sites web suspects ou des domaines récemment créés pour piéger leurs victimes. Ils exploitent directement des plateformes cloud de confiance comme Microsoft Azure, Google Firebase et AWS CloudFront pour lancer des campagnes de phishing sophistiquées ciblant les entreprises.

Cette nouvelle approche rend la détection beaucoup plus complexe pour les équipes de sécurité, tout en exposant davantage les organisations africaines et internationales à des compromissions de comptes critiques.

Une nouvelle génération de phishing basée sur le cloud

Contrairement aux campagnes traditionnelles, ces attaques utilisent des infrastructures légitimes appartenant à des géants technologiques mondialement reconnus. Les pages de phishing sont hébergées sur des services cloud fiables, ce qui leur permet de contourner les filtres de sécurité classiques basés sur la réputation des domaines ou des adresses IP.

Les attaques commencent généralement par :

• des emails professionnels très convaincants,
• des liens intégrés ou des codes QR,
• des chaînes de redirection complexes conçues pour échapper aux scanners automatisés.

Dans certains cas, des CAPTCHA sont utilisés afin de bloquer l’analyse par les outils de sécurité et donner une apparence légitime à la page frauduleuse.

Des kits de phishing capables de contourner le MFA

Les chercheurs en cybersécurité ont identifié l’utilisation massive de kits de phishing de type Adversary-in-the-Middle (AiTM). Ces outils positionnent l’attaquant comme un intermédiaire invisible entre la victime et le service légitime ciblé.

Parmi les kits les plus actifs figurent :

• Tycoon2FA
• Sneaky2FA
• EvilProxy

Ces plateformes de phishing-as-a-service permettent à des cybercriminels peu expérimentés de mener des attaques très avancées. Leur efficacité est redoutable : elles sont capables de voler les identifiants et les jetons de session en temps réel, même lorsque l’authentification multifacteur (MFA) est activée.

Selon les analyses d’Any.Run, les campagnes liées à Tycoon2FA auraient généré plus de 64 000 incidents signalés, touchant principalement des entreprises en Europe et en Amérique du Nord, mais avec un risque croissant pour les organisations africaines.

Pourquoi ces attaques sont difficiles à détecter

Les indicateurs de compromission traditionnels ne suffisent plus face à ce type de menace. Les pages malveillantes étant hébergées sur des domaines légitimes :

• les adresses IP semblent fiables,
• les certificats SSL sont valides,
• les empreintes TLS ne révèlent aucune anomalie.

De plus, l’utilisation de services comme Cloudflare complique encore davantage l’identification de l’infrastructure malveillante, car le serveur d’origine réel est masqué derrière le réseau de diffusion de contenu (CDN).

Lorsqu’un domaine frauduleux est neutralisé, les attaquants peuvent en recréer un autre en quelques minutes, assurant ainsi la continuité de leurs opérations sans interruption.

Impacts pour les entreprises et les organisations africaines

Ces attaques représentent une menace majeure pour :

• les entreprises privées,
• les institutions financières,
• les administrations publiques,
• les startups et fintechs africaines.

La compromission d’un compte professionnel peut entraîner :

• le vol de données sensibles,
• des fraudes financières,
• des attaques internes (lateral movement),
• une perte de confiance des partenaires et clients.

Dans un contexte où la transformation numérique s’accélère en Afrique, ces risques deviennent particulièrement critiques.

Recommandations et mesures de protection

Face à cette menace, les organisations doivent adapter leurs stratégies de défense :

1. Renforcer la surveillance comportementale
   Analyser les comportements anormaux des utilisateurs plutôt que de se fier uniquement aux indicateurs techniques classiques.
2. Adopter des solutions de sandbox interactives
   Elles permettent d’explorer en toute sécurité les chaînes d’attaque complètes et d’identifier les pages finales de vol d’identifiants.
3. Former les employés
   Sensibiliser les utilisateurs aux emails suspects, aux codes QR malveillants et aux fausses pages de connexion.
4. Mettre en place des contrôles d’accès conditionnels
   Limiter les connexions selon l’emplacement, l’appareil et le contexte de l’utilisateur.
5. Surveiller l’usage des plateformes cloud
   Identifier toute utilisation anormale de services cloud légitimes dans des scénarios de connexion inhabituels.

Conclusion

L’exploitation des plateformes Microsoft et Google par les cybercriminels marque un tournant majeur dans les techniques de phishing modernes. En détournant des infrastructures de confiance, les attaquants parviennent à contourner les défenses traditionnelles et à cibler efficacement les entreprises.

Pour les organisations africaines, cette menace souligne l’urgence d’investir dans des solutions de cybersécurité avancées, basées sur l’analyse comportementale et la détection proactive des menaces. La confiance dans le cloud ne doit plus être aveugle : elle doit être accompagnée d’une vigilance renforcée.

Source : Cyber Security News