Jameson Lopp, cofondateur de Casa, a alerté sur une campagne de phishing qui diffuse de faux e-mails via les propres systèmes de Google, exploitant l'infrastructure de la société pour donner aux messages une apparence authentique.

Les détenteurs de cryptomonnaies sont les plus exposés à ce stratagème, qui repose sur de fausses pages de connexion conçues pour voler des mots de passe et d'autres données sensibles.

Un e-mail frauduleux envoyé depuis Google lui-même

Dans une publication sur X diffusée jeudi, Lopp a indiqué que la campagne constitue une nouvelle version d'une ancienne arnaque actuellement en circulation. Il a joint une capture d'écran de l'e-mail frauduleux, montrant qu'il avait été envoyé via les véritables serveurs de Google.

New flavor of Google phishing that abuses Google's own infrastructure to send you this email. If you click the link you end up at a phishing login page. pic.twitter.com/dfkvfibo33

— Jameson Lopp (@lopp) October 29, 2026

Selon la publication, toute personne cliquant sur le lien contenu dans le message est redirigée vers une fausse page de connexion.

Ce n'est pas la première fois que Lopp signale un abus des systèmes de Google. En mai, il avait mis en évidence une arnaque détournant le formulaire de récupération de compte de Google, dans laquelle l'attaquant avait saisi un très long message dans le formulaire, en plaçant un avis d'apparence authentique en haut et le lien frauduleux tout en bas, après un large espace vide. L'alerte liée à l'incident actuel est elle aussi passée par les véritables systèmes de comptes de Google. Pris ensemble, ces épisodes montrent que les attaquants acheminent régulièrement leurs arnaques via des fonctionnalités légitimes de Google plutôt que d'usurper l'identité de la société, ce qui neutralise le moyen le plus courant dont disposent les destinataires pour juger de l'authenticité d'un e-mail.

Check Point a documenté une campagne similaire

La société de sécurité Check Point (NASDAQ : CHKP) a découvert une campagne détournant la fonctionnalité « Send Email » de l'outil Application Integration de Google Cloud. Sur une période de deux semaines en décembre 2025, les attaquants ont envoyé 9 394 e-mails à environ 3 200 organisations. Comme les messages provenaient d'une véritable adresse Google, noreply-application-integration@google.com, ils ont passé les contrôles DMARC et SPF, qui signalent normalement aux serveurs de messagerie destinataires qu'un message est authentique. DMARC et SPF sont les protocoles standard du secteur que les fournisseurs de messagerie utilisent pour confirmer qu'un message provient réellement du domaine indiqué dans son adresse d'expéditeur ; un passage réussi des deux contrôles a donc un poids considérable auprès des filtres anti-spam comme des destinataires.

Les destinataires ayant cliqué sur les liens étaient d'abord redirigés via plusieurs adresses web Google de confiance. Ils rencontraient ensuite une fausse page CAPTCHA conçue pour bloquer les scanners de sécurité automatisés, avant d'atterrir sur une fausse page de connexion Microsoft (NASDAQ : MSFT) non hébergée par Microsoft.

Google (NASDAQ : GOOGL) a indiqué aux chercheurs avoir bloqué les campagnes, précisant que le problème provenait d'un détournement d'un outil d'automatisation plutôt que d'une intrusion dans ses systèmes. Des arnaques similaires auraient également été menées via Google Meet, DoubleClick, Google Analytics et d'autres services. Ce schéma récurrent signifie qu'un message peut paraître légitime sur tous les signaux techniques tout en menant à une page hostile, même si Google affirme que ses propres systèmes n'ont pas été compromis.

Pourquoi les détenteurs de cryptomonnaies sont si souvent ciblés

Les utilisateurs de plateformes d'échange de cryptomonnaies et les détenteurs de portefeuilles sont considérés comme particulièrement exposés, car de fausses pages de connexion peuvent servir à capturer des mots de passe, des données de session ou des codes d'authentification à deux facteurs. Les enjeux sont également structurellement plus élevés que dans la finance traditionnelle : un transfert frauduleux de fonds en cryptomonnaies est généralement irréversible une fois confirmé on-chain, ne laissant que peu de marge de récupération après le vol d'identifiants.

Cette alerte fait suite à un incident distinct signalé par Cryptopolitan cette semaine, dans lequel des escrocs ont utilisé des clés API divulguées de Cloudflare (NYSE : NET) pour envoyer des e-mails depuis les propres domaines de Foundation. Certains destinataires ont indiqué que les messages reçus contenaient des informations personnelles légitimes, notamment leurs noms, adresses et achats Passport passés. Foundation a depuis révoqué les clés et déclaré que les fonds présents sur ses appareils sont en sécurité.

Plus largement, Binance a déclaré avoir bloqué 22,9 millions de tentatives d'escroquerie et de phishing au premier trimestre 2026, soit une hausse de 54 % par rapport au trimestre précédent, et avoir protégé environ 1,98 milliard de dollars de fonds d'utilisateurs — un rythme qui indique que le phishing demeure l'un des vecteurs d'attaque les plus persistants du secteur, même au fur et à mesure que les campagnes individuelles sont démantelées.