10 histoires de phishing sauvages (et de phishing connexe) de 2024 à 2025 – y compris les leçons importantes à retenir

Les QR codes se sont transformés en connexions. L’IA a pris la voix de votre directeur financier sur Zoom. Des e-mails « internes » ont surgi de nulle part. Ces deux dernières années ont été un défilé ininterrompu d’arnaques inventives — aussi audacieuses que brillantes. Ci-dessous, nous revenons sur dix incidents bien réels qui ont marqué cette période et, surtout, nous traduisons chacun en garde-fous concrets que vous pouvez mettre en place. Les sources sont citées tout au long du texte pour vous permettre d’aller plus loin quand vous le souhaitez.

1) Change Healthcare : un portail, aucun MFA, et une leçon très coûteuse (févr. 2024)

En février 2024, des attaquants ont franchi la porte d’entrée numérique de Change Healthcare en utilisant des identifiants volés — aucune alerte, aucun second facteur, juste un portail distant sans MFA. La compromission a fini par dégénérer en ransomware ALPHV/BlackCat et en perturbations nationales dans la facturation des soins de santé. Des dirigeants ont ensuite témoigné que le point d’entrée compromis n’avait pas le MFA activé — une omission qui ressemble à un rebondissement que l’on voit venir à des kilomètres (Reuters; contexte via Cybersecurity Dive; synthèses sectorielles de l’AHA et HHS OCR).

Pourquoi ça a fonctionné ? Parce qu’une seule application sans MFA est un passe-partout dans un monde saturé de logs d’infostealers et de réutilisation de mots de passe. La contre-mesure est merveilleusement peu glamour : un MFA résistant au phishing (FIDO2) partout où le public peut vous atteindre, idéalement derrière un SSO + accès conditionnel, avec les protocoles hérités désactivés. Ajoutez des alertes d’anomalie de base — voyage impossible, ASN inhabituels, horaires étranges — et vous aurez au moins une chance de détecter les premiers pas de l’attaque.

2) Pepco Group : un BEC classique, poli comme un diamant (févr. 2024)

L’activité hongroise de Pepco a perdu environ 15,5 millions d’euros à cause de ce qui ressemble à un manuel scolaire — mais exécuté de façon redoutable — de compromission de la messagerie professionnelle. Pas de grand show de malware ; seulement des messages convaincants, de l’autorité, de l’urgence, et un processus de paiement qui faisait un peu trop confiance à la boîte de réception (notification de l’entreprise / PDF; couverture via Reuters et Help Net Security).

La parade est autant culturelle que technique : traitez les mouvements d’argent comme une checklist de cockpit. Double validation, vérification de rappel sur des numéros connus, portails fournisseurs avec 2FA, et délai de blocage pour les changements de coordonnées bancaires effectués pour la première fois transforment un « veuillez payer ça d’urgence » en « bien sûr — après avoir suivi la procédure ».

3) La salle du conseil en deepfake d’Arup : quand les visages mentent (janv.–mai 2024)

Un employé financier d’Arup a rejoint un appel vidéo avec le « directeur financier » et des collègues. Ils semblaient corrects, parlaient correctement, bougeaient correctement — et c’étaient des deepfakes IA. Environ 25 millions de dollars ont quitté l’entreprise avant que la réalité ne rattrape tout le monde (Financial Times; CFO Dive; contexte via CNN/Yahoo).

Nous avons appris aux gens à « faire confiance au visage ». Les deepfakes brûlent cet instinct. La solution pragmatique est une politique, pas de la paranoïa : aucun fonds ne doit être libéré sur un simple appel en direct. Exigez une validation via ticket plus un rappel vocal sur un numéro tiré d’un annuaire interne — jamais depuis l’e-mail ou l’invitation à la réunion. Apprenez aux équipes à repérer les indices (décalage lèvres-son, latences étranges) et à utiliser des canaux de secours quand quelque chose cloche.

4) Paris 2024 : les Jeux olympiques de la billetterie frauduleuse (mi-2024)

L’engouement, la rareté et un branding impeccable font un terrain de chasse idéal pour le phishing. À l’approche de Paris 2024, les forces de l’ordre et des chercheurs ont signalé des centaines de sites frauduleux vendant des billets, des offres d’hospitalité et des « accès prioritaires ». À un moment, la gendarmerie française en comptait 338 domaines suspects. Le mode opératoire était simple : empoisonnement SEO, logos clonés et urgence qui fait oublier ses propres règles, même aux acheteurs avertis (Proofpoint; mises en garde consommateurs via CBS News; avis officiels sur Olympics.com).

Si vos équipes voyagent ou achètent des accès à des événements, faites la mise au point sécurité en amont : tapez l’URL, ne cliquez pas, et uniquement sur les adresses officielles. Côté défense, surveillez les typosquats et bloquez pendant une période de refroidissement les nouveaux domaines dans les catégories à risque. Un peu de friction vaut mieux qu’un FOMO coûteux.

5) Les compromissions liées à Snowflake : un seul mot de passe pour les gouverner tous (printemps–été 2024)

Ticketmaster, Santander et d’autres ont signalé des données consultées via des environnements Snowflake clients, avec un méchant familier : identifiants volés et MFA absent. Snowflake a indiqué que sa plateforme n’avait pas été piratée ; les attaquants sont plutôt entrés grâce à de vraies clés vers des instances clients et ont pu interroger les données (Dark Reading; The Verge; Google Threat Intelligence; Push Security).

Si vos données vivent dans le SaaS, traitez l’identité comme votre nouveau périmètre réseau. Placez SSO/SAML + MFA en première ligne, ajoutez des listes d’autorisation IP/VPN, et instrumentez la détection pour les volumes de requêtes inhabituels ou les changements de rôle soudains. Les clés et jetons devraient tourner comme les piles d’un détecteur de fumée : régulièrement, avant l’incendie.

6) Le pivot WhatsApp de Star Blizzard : votre QR code est un jeton de session (fin 2024–janv. 2025)

Le groupe Star Blizzard, lié au FSB, a commencé à pousser diplomates et experts en politiques publiques à scanner des QR codes WhatsApp, transformant une simple étape de liaison en prise de contrôle de compte. Le procédé contournait habilement les contrôles e-mail et déplaçait la conversation vers une application compromise où la confiance est forte et la vigilance faible (Microsoft; BleepingComputer; The Guardian).

Le changement d’état d’esprit est essentiel : les QR codes sont souvent la méthode d’authentification. Apprenez aux gens à considérer les scans comme des mots de passe, limitez la liaison sur les appareils non gérés via MDM, et imposez une MFA avec correspondance de numéro lorsque c’est disponible. Surveillez aussi les nouveaux appareils liés et les sauts de localisation suspects — deux signaux d’alerte précoces.

7) Le quishing à grande échelle : Microsoft Sway comme usine à leurres (août 2024)

Les attaquants se sont appuyés sur Microsoft Sway pour héberger des pages de phishing par QR code sophistiquées, qui passaient les filtres grâce à l’aura de confiance des services de première partie. L’image QR masquait la vraie destination, et les scanners non conçus pour décoder les images ne voyaient qu’un fichier propre, hébergé par une marque réputée (BleepingComputer; recherche originale de Netskope).

Les défenseurs peuvent répondre de la même façon : ajoutez le décodage des QR codes à la sécurité e-mail/web, examinez de près les liens nouveaux Sway/Forms/Sites, et verrouillez l’identité avec du MFA sans mot de passe, de l’accès conditionnel et une évaluation continue de l’accès. Sur mobile, apprenez aux gens à prévisualiser les URL avant d’ouvrir — une petite habitude, un énorme gain.

8) Trezor : quand votre support client devient l’ingénieur social (janv. 2024 & juin 2025)

En janvier 2024, un portail de support tiers lié à Trezor a exposé les coordonnées d’environ 66 000 utilisateurs — du carburant pour le phishing en chaîne. En juin 2025, les adversaires sont allés plus loin, en abusant du formulaire de support de Trezor pour envoyer des réponses automatiques convaincantes, suffisamment officielles pour faire cligner des yeux à des vétérans (BleepingComputer; BleepingComputer).

Votre pile de support fait partie de votre périmètre de sécurité. Traitez-la comme telle : limitez le débit des réponses automatiques, imposez un alignement strict DKIM/DMARC, analysez les réponses modèles pour repérer les formulations à risque (surtout autour de la « récupération » et des cryptos), et publiez des messages de prévention clairs pour que vos clients sachent ce que vous ne leur demanderez jamais de faire.

9) Du « interne » sans compromission : Direct Send de M365 se montre espiègle (juin–août 2025)

Des campagnes exploitant Direct Send de Microsoft 365 ont permis de spoof er des utilisateurs internes sans prendre réellement le contrôle d’un compte. Ce détail compte, car un e-mail « de IT@votreentreprise » a encore du poids psychologique — même quand l’histoire d’authentification est floue (Varonis; synthèses via Dark Reading et Arctic Wolf).

Resserrez vos règles de connecteur, limitez la portée de Direct Send, et privilégiez SMTP authentifié quand vous le pouvez. Apprenez aux équipes que « interne » n’est pas un mot magique ; si un e-mail tente de faire bouger de l’argent ou des identifiants, la vérification doit se faire dans un portail ou via un canal de secours connu — pas dans un lien bleu pratique.

10) Les créateurs de sites IA enrôlés dans l’usine à phishing : Lovable à grande échelle (2025)

Enfin, un scénario très 2025 : des attaquants utilisant des constructeurs de sites web IA — Lovable en particulier — pour produire des dizaines de milliers de pages de phishing et de malware, avec un design conforme à la marque et une rapidité quasi instantanée. Nouveaux domaines plus jolis modèles égalent un flux régulier de clics avant que les systèmes de réputation ne réagissent (Proofpoint; couverture via BleepingComputer et TechRadar).

En défense, enrichissez votre intelligence URL avec le temps écoulé depuis l’enregistrement et la réputation du constructeur/de l’hébergeur, et n’autorisez pas par réflexe des nouveaux domaines brillants simplement parce qu’ils ont l’air professionnels. Les criminels peuvent avoir l’air pro eux aussi — c’est un peu leur spécialité.

Le schéma que vous ne pouvez pas ignorer

Dans ces dix histoires, les mêmes fils conducteurs reviennent sans cesse. Les identifiants et jetons de session valent de l’or. Les failles MFA sont fatales. « Interne » est un ressenti, pas un contrôle. Et l’IA est à la fois accélérateur et lance-à-incendie — elle donne plus de vitesse aux attaquants et submerge les défenseurs, mais elle nous offre aussi une meilleure formation et une meilleure détection si nous choisissons de l’utiliser.

Si vous ne faites que quelques choses ce trimestre, faites au moins celles-ci : déployez un MFA résistant au phishing et retirez l’authentification héritée ; ajoutez le décodage des QR codes à votre pile e-mail/web ; organisez des exercices réalistes de BEC et de deepfake pour la finance et les dirigeants (avec rappels obligatoires) ; et placez clairement les workflows support, marketing et événements dans votre modèle de menace avec des limites de débit, un alignement DMARC et des avertissements préventifs.

Et si vous voulez vous entraîner en toute sécurité, c’est exactement notre terrain de jeu. AutoPhish peut recréer les tendances que vous venez de lire — quishing, leurres à la sauce IA, spoofing « interne », et BEC minutieux — puis enchaîner avec des formations courtes qui restent vraiment en tête. Parce que voir l’arnaque une fois, dans un environnement sûr, c’est la meilleure façon de la déjouer quand cela compte vraiment.