L'équipe de recherche sur les menaces de Mimecast a identifié une campagne active de collecte d'identifiants qui exploite des comptes de messagerie piratés pour diffuser des messages de Phishing sur le thème des ressources humaines, en se faisant passer pour DocuSign et les services RH de certaines entreprises. Cette campagne témoigne d'une grande maturité opérationnelle, comme en témoignent l'utilisation de comptes piratés répartis géographiquement, le filtrage des appareils mobiles et les techniques de contournement des CAPTCHA visant à échapper à la détection.
Mise en œuvre en temps opportun des processus opérationnels de fin d'année
Cette campagne est particulièrement préoccupante en raison de son timing stratégique et de l'exploitation qu'elle fait des processus opérationnels légitimes. Alors que les entreprises entament le dernier trimestre de l'année, les services des ressources humaines de tous les secteurs lancent généralement les procédures d'attribution des primes, d'évaluation des performances de fin d'année et d'adhésion aux régimes d'avantages sociaux. Les salariés s'attendent à recevoir des communications légitimes concernant leur rémunération, ce qui les rend plus vulnérables aux tentatives de Phishing liées aux ressources humaines. Les cybercriminels ont exploité cette attente en rédigeant des messages convaincants qui s'inscrivent dans le cadre des activités habituelles de fin d'année au sein des entreprises. Le caractère urgent que suggèrent des objets d'e-mail tels que « "Finissons l'année en beauté – Remplissez votre formulaire de prime ! »" exploite à la fois le caractère urgent des procédures de fin d'année et l'intérêt financier des salariés pour les informations relatives aux primes. Cette manipulation psychologique augmente considérablement le risque que les utilisateurs interagissent avec des contenus malveillants.
Chaîne d'attaques
La campagne s'articule autour d'un processus en plusieurs étapes :
Vous trouverez ci-dessous quelques-uns des exemples recensés
Une fois que l'utilisateur a scanné le code QR avec son appareil mobile, il est redirigé vers une étape de vérification manuelle afin de garantir la légitimité de l'opération.
Les utilisateurs sont ensuite invités à saisir leurs identifiants
Infrastructure technique
L'analyse d'une variante de l'infrastructure back-end de la campagne a permis de mettre au jour un mécanisme de collecte d'identifiants. Les pages de Phishing utilisent une technique de collecte de données basée sur JavaScript présentant les caractéristiques suivantes :
L'équipe de recherche sur les menaces de Mimecast a développé et déployé des règles de détection afin d'identifier et de bloquer cette campagne. Nous continuons à surveiller cette opération malveillante afin de détecter toute évolution tactique et tout changement au niveau de son infrastructure.
Organisations internationales
Formation de sensibilisation des utilisateurs :
Recherche de menaces :
Découvrez comment la plateforme unique de Mimecast peut protéger votre personnel, votre IA et vos données.
Rejoignez les milliers de professionnels de la sécurité qui utilisent nos alertes sélectionnées avec soin, nos analyses d'experts et nos indicateurs de compromission (IOC) liés aux campagnes pour se protéger contre les cybermenaces émergentes.
Threat Intelligence1 sept. 2026
Threat Intelligence27 août 2026
