Microsoft a identifié un réseau de fournisseurs de phishing qui acceptent le Tether (USDT) comme moyen de paiement et a relié les outils fournis par ces fournisseurs à des campagnes visant jusqu'à 75 000 organisations. Cette découverte met en lumière la manière dont des fournisseurs de services criminels utilisent les stablecoins pour encaisser leurs paiements, et comment ce modèle de paiement contribue à alimenter des attaques de phishing à l'échelle industrielle.

Des fournisseurs dans un modèle de phishing-as-a-service

Selon Microsoft, les parties identifiées opèrent en tant que fournisseurs dans un modèle de phishing-as-a-service. Cela signifie qu'elles ne mènent pas nécessairement chaque attaque elles-mêmes. Elles vendent ou louent plutôt des outils de phishing prêts à l'emploi à d'autres criminels qui exécutent les campagnes proprement dites. Cette division du travail, dans laquelle les créateurs d'outils servent des criminels clients au lieu d'attaquer directement, est une structure observée par les chercheurs sur d'autres marchés de services criminels, et elle réduit les compétences techniques nécessaires pour mener des campagnes convaincantes.

Une caractéristique rapportée de ces fournisseurs est qu'ils acceptent l'USDT, le stablecoin indexé sur le dollar américain émis par Tether, comme moyen de paiement. Un stablecoin est une cryptomonnaie conçue pour conserver une valeur fixe, en l'occurrence un dollar américain par token. Cette stabilité de prix importe dans ce contexte car elle élimine le risque de volatilité lié à la détention de cryptomonnaies plus volatiles entre le paiement et l'encaissement. L'acceptation de l'USDT permet aux fournisseurs de recevoir des paiements sans passer par des comptes bancaires traditionnels, plus difficiles à tracer pour les enquêteurs que les virements classiques.

La découverte de Microsoft concerne une place de marché criminelle spécifique plutôt que les paiements en cryptomonnaies en général. L'acceptation de l'USDT est un attribut rapporté de ces fournisseurs particuliers ; cela ne signifie pas que les transactions ordinaires en USDT sont suspectes, et Tether lui-même est un outil financier largement utilisé avec des applications légitimes. Ce schéma reste néanmoins cohérent avec les précédentes recherches en sécurité de Microsoft, notamment une alerte antérieure concernant des campagnes de malwares crypto qui ont évolué de simples outils de vol vers des backdoors plus sophistiqués.

Le lien entre ces outils et 75 000 organisations

Microsoft a indiqué que les outils de phishing fournis par les parties identifiées ont été utilisés contre jusqu'à 75 000 organisations. Ce chiffre décrit une portée potentielle des campagnes, c'est-à-dire des organisations qui ont été ciblées ou exposées à des attaques utilisant ces outils, sans nécessairement avoir été entièrement compromises.

Cette distinction est importante. Être ciblé par une campagne de phishing ne signifie pas automatiquement que les comptes ou les données d'une organisation ont été consultés. L'ampleur de 75 000 organisations illustre toutefois à quel point un modèle de fournisseurs peut diffuser la capacité d'attaque : un petit nombre de fournisseurs peut permettre un bien plus grand nombre de campagnes menées par des opérateurs criminels distincts qui achètent ouent les outils.

Sur la base des informations disponibles, Microsoft n'a pas précisé publiquement à quels secteurs ou régions appartiennent ces 75 000 organisations. Déduire une géographie, une répartition sectorielle ou des nombres de victimes confirmées au-delà de ce que Microsoft a attribué irait au-delà de ce que les éléments probants permettent d'établir.

Ce que cela signifie pour les organisations et les utilisateurs de crypto

Cette découverte souligne à quel point les places de marché de phishing-as-a-service fonctionnent de manière similaire aux entreprises légitimes de logiciel en tant que service, avec des fournisseurs, des clients et des rails de paiement. Les cryptomonnaies, et particulièrement les stablecoins, peuvent apparaître comme moyen de paiement sur ces marchés illicites car les transactions peuvent traverser rapidement les frontières, en dehors du système bancaire traditionnel.

Le phishing reste l'un des moyens les plus couramment signalés permettant aux attaquants d'obtenir un premier point d'ancrage dans les organisations, car un seul identifiant récupéré peut permettre une prise de contrôle de compte et des fraudes ultérieures. Pour les organisations, la réponse pratique est la même quel que soit le mode de paiement des fournisseurs :

• Vérifiez l'expéditeur avant de cliquer sur un lien dans un e-mail ou un message.
• Contrôlez que les pages de connexion utilisent le bon domaine.
• Activez une authentification multifacteur résistante au phishing, qui requiert une clé physique ou une confirmation sur l'appareil plutôt qu'un code envoyé par SMS.
• Signalez les messages suspects à votre équipe informatique ou de sécurité au lieu de les ignorer.

Pour les utilisateurs d'USDT ou d'autres stablecoins, la découverte de Microsoft rappelle que les rails de paiement en cryptomonnaies font partie de l'économie criminelle moderne, même si la grande majorité de l'activité en stablecoins est légale. La compréhension du fonctionnement de ces marchés aide à expliquer pourquoi les chercheurs en sécurité et les forces de l'ordre suivent de près les schémas de paiement on-chain liés à la cybercriminalité. Des recherches antérieures de Microsoft en sécurité ont déjà montré comment des outils de vol de cryptomonnaies peuvent évoluer en menaces persistantes pour les particuliers comme pour les organisations.

Quiconque reçoit une demande de connexion inattendue, un message l'invitant à vérifier ses identifiants ou un e-mail lui demandant de cliquer sur un lien pour sécuriser son compte doit faire preuve de prudence. Ce sont des mécanismes de diffusion courants pour ce type de campagnes de phishing décrites dans les recherches de Microsoft. Des alertes complémentaires, des indicateurs publiés ou des actions répressives visant des réseaux de fournisseurs comme celui-ci permettraient de mieux cerner l'évolution de cet écosystème, raison pour laquelle les équipes de sécurité et les chercheurs ont tendance à surveiller les canaux de renseignement sur les menaces des éditeurs après de telles divulgations.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre des décisions.