Par Samantha Clarke, Hiwot Mendahun, Ankit Gupta et l'équipe Mimecast Threat Research
Les chercheurs en cybersécurité de Mimecast ont récemment surveillé une campagne de Phishing exploitant Recruitee, un système de gestion de la relation client (CMS) tiers légitime dédié au recrutement (référencée en interne sous le numéro MCTO3035). Les cybercriminels exploitent cette plateforme pour envoyer des e-mails contenant de fausses offres d'emploi, trompant ainsi les utilisateurs finaux et contournant potentiellement les mécanismes de détection en tirant parti d'un service de confiance. De plus, ils enregistrent des noms de domaine similaires et les intègrent dans des e-mails générés par Recruitee, en se faisant passer pour des marques connues, ce qui renforce la crédibilité de leurs tentatives de Phishing.
L'appât de cette campagne repose sur une offre d'emploi frauduleuse pour un responsable des médias sociaux, incitant les victimes à cliquer sur un lien pour postuler. Après une enquête plus approfondie, les domaines utilisés dans les campagnes ont été enregistrés récemment, à l'aide de services tels que Porkbun et Hostinger, appréciés des acteurs malveillants pour leur faible coût, leur facilité d'utilisation et leur rapidité d'installation.
Une fois que l'utilisateur a cliqué sur le lien, des CAPTCHAS aléatoires et un filtrage IP sont utilisés pour empêcher toute détection automatique, avant qu'il ne soit redirigé vers une page de connexion.
Une page d'hameçonnage bien structurée apparaît, avec des marques et des logos pour plus de crédibilité. L'objectif principal de ces campagnes est de récolter les identifiants Facebook et l'utilisateur est invité à créer un compte via Facebook ou à entrer son adresse e-mail/numéro de téléphone. Dans les deux cas, l'utilisateur est amené à saisir ses identifiants Facebook.
Après la saisie de l'identifiant, l'utilisateur est invité à procéder à une seconde authentification afin que l'acteur malveillant puisse prendre le contrôle du compte Facebook. Toutes les informations saisies sur ces pages sont automatiquement saisies dans les enregistreurs Telegram afin de garantir une prise de contrôle des comptes en temps voulu.
L’activité de la campagne a connu un pic significatif en septembre et a repris fin novembre.
T1566.002 - Phishing : Lien de spear phishing
T1598.002 - Phishing pour des informations
T1204.001 - Exécution par l'utilisateur : Lien malveillant
T1596.002 - Recherche de ressources appartenant à la victime sur des sites Web ou domaines ouverts (par exemple, création de domaines similaires)
T1189 - Compromission par drive-by (sites de phishing avec filtrage CAPTCHA/IP)
T1070.004 - Suppression d'indicateurs sur l'hôte : Exfiltration automatisée via des bots Telegram
États-Unis et Royaume-Uni, principalement dans les secteurs de la vente au détail, des médias et de l'édition
Découvrez comment la plateforme unique de Mimecast peut protéger votre personnel, votre IA et vos données.
Rejoignez les milliers de professionnels de la sécurité qui utilisent nos alertes sélectionnées avec soin, nos analyses d'experts et nos indicateurs de compromission (IOC) liés aux campagnes pour se protéger contre les cybermenaces émergentes.
Threat Intelligence1 sept. 2026
Threat Intelligence27 août 2026
