Ce que les appelants ont vraiment fait
L'équipe de renseignement sur les menaces de Google a identifié une campagne de vishing menée par quatre groupes apparentés qu'elle suit sous les noms Falcon, Helix, Pink et Redact, susceptibles selon Google d'opérer sous un même collectif appelé UNC6671. TechCrunch a rapporté ces conclusions le 6 août 2026.
La méthode était directe et peu sophistiquée dans son principe: les attaquants appelaient les employés sur leur téléphone mobile personnel, et non leur ligne professionnelle, en se faisant passer pour un collègue ou un membre du support informatique interne. Les victimes étaient dirigées vers un site conçu pour imiter fidèlement le vrai portail de connexion de leur employeur, où elles saisissaient leur identifiant, leur mot de passe et le code de leur application MFA.
C'est cette dernière étape qui compte. Le faux site relayait les identifiants et le code MFA à l'attaquant en temps réel, ce qui lui permettait de se connecter au système réel pendant que le code était encore valide - une technique dite de relais MFA en temps réel, ou phishing-in-the-middle. La campagne s'est déroulée durant les premiers mois de 2026. Sur cette période, les portefeuilles liés aux groupes ont reçu environ 10 millions de dollars en bitcoin, et chaque compromission était généralement suivie d'une demande d'extorsion comprise entre 750 000 et 3 millions de dollars.
Pourquoi le capital-investissement, et pas un distributeur avec une base de données
Les organisations citées dans l'article sont Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's et TPG. Ce n'est pas un échantillon aléatoire de grandes entreprises, mais une liste de grandes sociétés financières et de capital-investissement américaines, choisies selon une logique qui mérite d'être énoncée clairement.
La plupart des articles sur les violations de données supposent que les attaquants recherchent le volume: une base de millions de dossiers clients à revendre ou à monnayer. Les sociétés de capital-investissement et de gestion d'actifs en possèdent comparativement peu. Ce qu'elles possèdent en revanche, c'est une autorité concentrée - un nombre restreint d'employés, souvent une poignée par société, capables d'approuver un virement, de contresigner une transaction ou de déplacer une somme importante sans seconde signature. Cette concentration était la vraie cible des attaquants.
C'est une logique de sélection des cibles différente de celle que suppose généralement la couverture sécurité, et elle explique pourquoi un appel téléphonique, plutôt qu'un email de phishing envoyé à des milliers de boîtes, était l'outil approprié. Nul besoin de compromettre une base de données quand compromettre trois ou quatre personnes précises produit le même résultat, plus vite et avec moins de bruit.
Pourquoi l'appel bat toute votre infrastructure de sécurité
L'authentification multifacteur, le SSO, la détection sur les postes de travail et le filtrage des emails sont tous conçus pour s'interposer entre un fichier malveillant, un lien ou une tentative de connexion et vos systèmes. Aucun ne s'interpose entre une personne et un appel téléphonique. Un appel qui se fait passer pour un collègue ou le support informatique ne touche absolument pas cette infrastructure - il vise directement le seul composant qu'aucune mise à jour logicielle ne peut corriger: une personne sous légère pression qui cherche à être utile.
Cela explique aussi pourquoi le vol du code MFA en temps réel comptait plus que celui du mot de passe. Un mot de passe volé seul est souvent inutile face à un MFA bien configuré. Un mot de passe et un code MFA en direct relayés à l'attaquant au sein de la même session déjouent en revanche complètement cette protection, car du point de vue du système, la connexion ressemble exactement à celle de l'employé authentique utilisant son propre second facteur, à quelques secondes près.
La solution est un protocole, pas un produit
Il n'existe aucun produit à acheter pour combler cette faille, car elle n'est pas technique. Toute organisation où un nombre restreint de personnes peut approuver de grandes transactions financières - ce qui décrit la plupart des fonctions de capital-investissement, de gestion d'actifs et de trésorerie, mais aussi beaucoup d'entreprises de taille moyenne ordinaires - devrait mettre en place et réellement entraîner un protocole de vérification hors bande pour tout appel inattendu de l'informatique ou d'un collègue demandant un identifiant, un code MFA ou une action urgente.
Le protocole lui-même est simple: raccrocher et rappeler un numéro interne connu que l'on a soi-même recherché, et non celui donné pendant l'appel. Ne jamais ressaisir un mot de passe ou un code MFA sur un lien reçu pendant un appel, aussi convaincant que paraisse le site. Traiter l'urgence elle-même comme le signal d'alerte: un vrai support informatique a rarement besoin qu'on lui lise un identifiant à voix haute dans les deux minutes.
La leçon dépasse largement le secteur financier. Toute entreprise de l'UE ou du Royaume-Uni comptant un nombre restreint de personnes à haute autorité - approbateurs financiers, administrateurs informatiques, dirigeants habilités à ordonner des virements - correspond au même profil de cible que celui visé par les attaquants. Dans l'UE, les sociétés déjà soumises à DORA ou aux obligations de signalement d'incidents de NIS2 devraient traiter une compromission par vishing réussie exactement comme le type d'incident que ces cadres attendent qu'elles détectent et signalent.
À lire ensuite: Aucun humain n'a choisi l'exploit, CISA donne 2 jours | Changez chaque clé de CI utilisée le 4 août
