Le phishing reste le vecteur initial de 83 % des compromissions selon Verizon DBIR 2024. Pourtant, on continue à le présenter comme « un email douteux à éviter », ce qui sous-estime gravement la sophistication actuelle. Cet article décortique une campagne de phishing moderne, de la reconnaissance OSINT jusqu’à la monétisation, avec les techniques observées en 2024-2025.
La kill chain phishing en 7 étapes
Étape 1 — Reconnaissance OSINT ciblée
Une campagne de spear-phishing commence par 1 à 4 semaines de reconnaissance. Les attaquants ciblent :
- Postes à autorité financière (CFO, comptables) ou postes à privilèges techniques (admin AD, DSI, dev senior)
- Personnes récemment arrivées (LinkedIn « nouvelle aventure ») qui connaissent mal les procédures internes
- Périodes de stress (fusion-acquisition, fin de trimestre, mois d’août)
Outils OSINT typiquement utilisés : hunter.io (emails), crt.sh (sous-domaines via Certificate Transparency), shodan.io (services exposés), LinkedIn Sales Navigator (organigramme), theHarvester, Maltego.
Étape 2 — Infrastructure (domaines, certificats)
Trois techniques d’usurpation de domaine reviennent constamment :
| Technique | Exemple (cible : galeacyber.com) | Filtre qui le détecte |
|---|---|---|
| Typosquatting | galaecyber.com, galeacyer.com | Algorithme Levenshtein côté SEG |
| Homographe IDN | galéacyber.com, ɡaleacyber.com (avec U+0261) | Punycode dans MUA |
| Sous-domaine légitime compromis | support.[domaine-tiers-compromis].com | Threat intel |
| TLD différent | galeacyber.support, galeacyber.io | Surveillance de la marque |
Étape 3 — Payload et contournement filtres
Les payloads ont fortement évolué en 2024 :
- QR codes (quishing) : contournent le scan d’URL classique car l’URL est dans une image
- HTML smuggling : le code HTML reconstruit le payload côté navigateur, le proxy ne voit qu’un blob inerte
- Liens à expiration : actifs pendant 6h après le clic puis 404, ce qui complique l’investigation post-incident
- Attaches OneDrive / SharePoint légitimes : URL Microsoft authentique pointant vers un document partagé piégé
# Exemple regex SIEM pour détecter HTML smuggling "<script>[\s\S]*?atob\([\"']{1}[A-Za-z0-9+/=]{300,}[\"']{1}\)" "<a [^>]*download[=][\"'][^\"']*\.(exe|hta|iso|img)[\"']"
L’effet GPT : la qualité linguistique a changé d’échelle
Trois changements majeurs apportés par les LLM côté attaquant :
- Fin des fautes d’orthographe — l’indicateur le plus enseigné en sensibilisation devient inopérant
- Personnalisation à l’échelle — il est désormais trivial d’envoyer 1 000 mails uniques, chacun référençant un projet réel du destinataire trouvé sur LinkedIn
- Multimodal — voice phishing (vishing) avec voix synthétisée du DG, deepfake vidéo en visio-conférence (cas Arup 2024, 25 M$ perdus)
Indicateurs de détection actionnables
Plutôt que former « à ne pas cliquer » (peine perdue), on outille la détection :
| Indicateur | Outil de détection | Fiabilité |
|---|---|---|
| SPF/DKIM/DMARC fail | SEG (Proofpoint, Microsoft Defender, Mimecast) | Élevée si DMARC en reject |
| Domaine récemment créé (< 30 j) | Threat intel / SEG | Élevée pour campagnes massives |
| URL non visitée auparavant | Sandbox / URL rewriting | Moyenne |
| Pièce jointe avec macro Office | Sandbox + politique macro | Excellente avec macro blocking |
| Comportement post-clic anormal (login depuis nouveau pays) | UEBA / Conditional Access | Très élevée |
| Authentification MFA push refusée 5x | SIEM | Excellente (MFA fatigue) |
Une campagne moderne de spear-phishing dure 4 à 6 semaines, mobilise 80-150 heures d’attaquants, et coûte environ 8 000 € en infrastructure. Avec un ROI typique de 10 à 50× en cas de réussite (Business Email Compromise sur une transaction).
Pour aller plus loin
Côté défense, trois investissements sortent du lot : (1) MFA résistant au phishing (FIDO2, certificats), (2) URL rewriting + sandbox, (3) UEBA pour détecter les comportements post-compromission. La sensibilisation reste utile mais doit être traitée comme une mesure de réduction de fréquence, pas comme une mesure de blocage.
