Des appels frauduleux au service d'assistance sont utilisés dans le cadre d'une campagne de vol de données et d'extorsion visant des cadres supérieurs

Des chasseurs de menaces ont révélé l'existence d'une vaste campagne de vol de données et d'extorsion, identifiée sous le nom de PREY-0058, qui consiste à se faire passer par téléphone pour des membres du service d'assistance informatique interne afin de dérober les jetons de session Microsoft 365 de directeurs, de vice-présidents et d'autres cadres supérieurs, puis à exfiltrer des données depuis SharePoint, OneDrive, Exchange et Box à des fins d'extorsion, sans jamais déployer de logiciel malveillant ni se déplacer latéralement sur le réseau. 

Ce qui s'est passé — et en quoi c'est différent

Arctic Wolf a révélé l’existence d’un vaste réseau de vol de données et d’extorsion qu’il désigne sous le nom de PREY-0058. Ce réseau cible principalement des directeurs, des vice-présidents et d’autres cadres supérieurs à travers les États-Unis, notamment dans les secteurs de la construction et de l’ingénierie, de la santé et de l’industrie pharmaceutique, de l’immobilier et de la gestion immobilière, de la finance et des services professionnels.¹ Les chercheurs soulignent que ce groupe partage de nombreuses techniques avec un acteur spécialisé dans l’extorsion de données, suivi par Mandiant (filiale de Google) sous le nom d’UNC6671, et qu’une autre marque d’extorsion appelée « Cinder » correspond probablement à un changement de nom ou à la poursuite des activités d’un groupe antérieur connu sous le nom de « Pink ».¹ 

L'attaque commence par un appel téléphonique. Les pirates se font passer pour des membres du service informatique ou du service d'assistance interne et dirigent la cible vers une URL liée à l'authentification, suivant un schéma récurrent : le nom de l'organisation victime est associé à un domaine leurre tel que mfaregister[.]com, passkeydeploy[.]com ou setpasskey[.]com¹. La page exécute un flux de connexion Microsoft 365 de type « man-in-the-middle » contrôlé par l’opérateur, qui récupère les identifiants et les autorisations d’authentification multifactorielle (MFA) afin de s’emparer des jetons de session actifs.¹ Ces jetons sont réutilisés via une infrastructure de proxys, notamment des services de proxys résidentiels, choisis pour correspondre à la situation géographique et au réseau de la victime, afin que la connexion ne semble pas suspecte aux yeux des systèmes de détection de Microsoft.¹ 

Une fois connectés, les opérateurs commencent par les applications Microsoft courantes (« Mes connexions », « Mon profil », « Mes applications ») afin de recouper les informations du compte et les applications disponibles.¹ À partir de là, ils lancent une analyse de SharePoint et d’Entra ID à l’aide d’une activité de recherche standard, puis collectent et extraient massivement des données de SharePoint, OneDrive, Exchange et Box avant d’envoyer des demandes de rançon.¹ À aucun moment, la campagne ne déploie de logiciel malveillant sur les terminaux ni ne se propage latéralement sur le réseau.¹ Les chercheurs ont également découvert des centaines de sous-domaines leurres usurpant l’identité d’entreprises réelles, ce qui suggère que l’infrastructure est conçue pour être réutilisée sur de nombreuses cibles plutôt que pour une seule opération.¹ 

Ce qu'ils ont découvert — et ce que cela signifie 

Pourquoi est-ce important ? 

Mesures recommandées

Position de BlackBerry en matière de communications sécurisées

Une campagne qui ne déploie aucun logiciel malveillant et ne se propage latéralement à travers aucun système ne constitue pas une faille fortuite dans les défenses d’une organisation. Il s’agit d’un choix conceptuel délibéré, fondé sur l’hypothèse selon laquelle la plupart des outils de sécurité surveillent les terminaux et le réseau, et rien d’autre. Le point d'entrée ici est un appel téléphonique et une page de connexion, et la seule véritable défense consiste à vérifier l'identité de la personne qui sollicite l'autorisation avant que quiconque ne donne son accord. Cela doit être une habitude bien ancrée, et non un simple module de formation ponctuel, car les personnes ciblées par cette campagne sont précisément celles qui ont été formées à réagir rapidement lorsqu'une personne se présentant comme une autorité les appelle. 

Références :

1. De faux appels informatiques ciblent des cadres dans le cadre d’attaques de vol de données et d’extorsion sur Microsoft 365 (Arctic Wolf, étude sur la menace PREY-0058, telle que rapportée par The Hacker News, le 7 septembre 2026).