Spear phishing crypto 2026 : l’entretien était l’attaque

Pendant des années, le vol de crypto par hameçonnage a ressemblé à une partie de pêche au chalut : des milliers de faux sites, une signature piégée, un portefeuille vidé en quelques secondes. Ce modèle de masse s’effondre. À sa place monte quelque chose de plus patient et de bien plus coûteux : des campagnes de spear phishing qui ne visent pas la foule mais une poignée de cibles choisies, dirigeants, développeurs, trésoriers d’entreprise, et qui remplacent le lien malveillant par une conversation.

Le 29 octobre 2026, le Bitcoin s’échange autour de 72 769 € (environ 80 036 $) et l’Ethereum près de 2 081 € (environ 2 320 $) selon CoinGecko, au lendemain d’une réunion de la Fed que les marchés crypto ont scrutée de près et dont dépend en partie l’humeur de fin d’année. Mais l’évolution la plus lourde du trimestre n’est pas un graphique de prix : c’est la bascule d’une industrie criminelle qui a cessé de ratisser large pour chasser gros.

Le prétexte est la charge utile

Dans ces campagnes, il n’y a souvent aucun lien malveillant à repérer, aucun faux site à démasquer. L’exploit, c’est une situation professionnelle plausible : une invitation à un podcast, un rendez-vous avec un fonds d’investissement, un entretien d’embauche, un appel du support. La charge utile est livrée par la victime elle-même, qui colle une commande dans son terminal, accorde le contrôle à distance de son écran ou exécute un test de code. Le maillon exploité n’est ni le contrat intelligent ni la clé : c’est la confiance et la routine de travail.

Cette bascule rend inopérants la plupart des réflexes de sécurité acquis depuis dix ans. Un filtre anti-spam ne bloque pas une invitation Calendly envoyée depuis un compte Telegram réel mais piraté. Un portefeuille matériel protège une clé, pas un utilisateur qui installe lui-même un logiciel espion. Contrairement à une faille de pont ou de contrat, comme celles racontées dans notre dossier sur les ponts crypto et les jetons fabriqués de toutes pièces, ces attaques n’ont besoin d’aucun bug logiciel. Il leur suffit d’un prétexte crédible et d’un humain pressé.

Deux vitesses : le drainer de masse recule, la chasse ciblée explose

Les chiffres racontent deux histoires opposées. Côté hameçonnage de masse, l’effondrement est spectaculaire : d’après le bilan annuel de Scam Sniffer, les pertes liées aux wallet drainers (ces signatures piégées qui vident un portefeuille) sont tombées à 83,85 millions de dollars (environ 76 M€) en 2025, contre 494 millions (environ 449 M€) en 2024, soit une chute de 83 %. Le nombre de victimes a reculé de 332 000 à 106 106, et seuls 11 vols ont dépassé le million de dollars, contre 30 l’année précédente. Le plus gros larcin unitaire de l’année, 6,5 millions de dollars via une signature Permit en septembre, aurait fait figure de prise ordinaire deux ans plus tôt.

Côté vol ciblé, la courbe grimpe. Le rapport 2026 de Chainalysis chiffre à 3,4 milliards de dollars (environ 3,1 Md€) le total dérobé en 2025, dont un record de 2,02 milliards (environ 1,84 Md€) attribué à la Corée du Nord, en hausse de 51 % sur un an et de près de 6,7 milliards cumulés en une décennie, comme l’a relevé Infosecurity Magazine. Les opérateurs nord-coréens réalisent des vols plus gros avec moins d’incidents, soit en infiltrant des employés dans les plateformes, soit en manipulant directement leurs dirigeants. Moins de filets, mais de bien plus gros poissons.

La concentration est le vrai marqueur de cette bascule. Toujours selon Scam Sniffer, janvier 2026 a vu les pertes par signature piégée bondir de 207 % par rapport à décembre, à 6,27 millions de dollars (environ 5,7 M€) pour 4 741 victimes, mais deux victimes à elles seules ont représenté près de 65 % du total, comme l’a relevé Bitget. Un seul signataire a perdu 3,02 millions de dollars (environ 2,75 M€) sur une autorisation malveillante. Quand une poignée de portefeuilles pèse l’essentiel du butin, l’incitation à personnaliser l’attaque devient écrasante : viser un dirigeant fortuné rapporte davantage que piéger mille petits porteurs, et c’est précisément le calcul qui nourrit les campagnes décrites plus bas.

ELUSIVE COMET : le faux podcast qui prend le contrôle de l’écran

Le cas d’école porte un nom de code : ELUSIVE COMET. Dans une alerte publiée par la Security Alliance (SEAL), les enquêteurs décrivent un acteur qui s’est construit une façade entière : un faux fonds de capital-risque, Aureon Capital, doublé d’une fausse maison de presse, Aureon Press, et d’une émission, The OnChain Podcast. L’approche se fait par message privé sur X ou par courriel, en invitant la cible à venir parler de son travail comme invitée du podcast. SEAL juge le groupe « responsable de millions de dollars de fonds dérobés ».

Le piège se referme pendant l’appel Zoom. L’attaquant lance un partage d’écran, puis demande la prise de contrôle à distance de la machine de la victime. Si celle-ci n’y prête pas attention, elle peut accorder cet accès en croyant valider une demande de routine. SEAL recommande sans détour de désactiver purement et simplement la fonction de contrôle à distance de Zoom.

Jake Gallen, PDG d’Emblem Vault, en a fait l’amère expérience. Le 11 avril 2025, il raconte avoir perdu plus de 100 000 $ (plus de 91 000 €) d’actifs numériques après un appel vidéo avec une personne se présentant comme un média. Un logiciel baptisé GOOPDATE a été installé sur son ordinateur, puis a siphonné ses identifiants et accédé à ses portefeuilles, selon le récit recueilli par Cointelegraph. Son explication du mécanisme est glaçante de simplicité : « Pour que cette arnaque fonctionne, il faut que l’invité de l’appel vidéo Zoom accorde l’accès à distance à l’hôte, une fonction activable qui est activée par défaut sur chaque compte Zoom. » Les attaquants ont même atteint son portefeuille matériel Ledger, qu’il n’avait pourtant ouvert que quelques fois en trois ans, avant de détourner son compte X pour viser d’autres cibles.

Comment un appel vidéo devient une prise de contrôle

La force de ce vecteur tient à un détail d’interface. Pendant un partage d’écran, la boîte de dialogue qui demande l’autorisation de contrôle à distance ressemble à n’importe quelle notification anodine de l’application. L’attaquant laisse souvent sa propre caméra éteinte, de sorte que la cible n’a aucun visage à associer à la demande. Une seule validation distraite suffit : à partir de là, l’adversaire pilote le clavier et la souris de la victime, télécharge et exécute un programme, désactive des protections, le tout depuis une session de visioconférence parfaitement banale.

Ce schéma n’est pas cantonné à Zoom ni à un seul groupe. Il réapparaît dans des campagnes qui usurpent des journalistes, des recruteurs ou des partenaires commerciaux, toujours autour du même pivot : convaincre la cible d’exécuter une action sur sa propre machine. C’est l’exact miroir du SIM swapping, où l’attaquant ne touche jamais la clé privée mais détourne le numéro de téléphone pour faire tomber la cascade de récupération. Ici non plus, personne ne casse la cryptographie : on persuade l’humain de l’ouvrir de l’intérieur.

UNC1069 : le deepfake en direct et la combine ClickFix

Le 9 février 2026, les analystes de Mandiant (Google Cloud) Ross Inman et Adrian Hernandez ont documenté une opération d’une sophistication nouvelle, attribuée avec un haut niveau de confiance au groupe nord-coréen UNC1069. La chaîne d’attaque commence par le compte Telegram, réel mais piraté, d’un dirigeant du secteur. Depuis ce compte de confiance, l’attaquant envoie un lien Calendly pour caler une réunion de trente minutes, qui renvoie vers un faux Zoom hébergé sur une infrastructure contrôlée par le groupe.

Pendant l’appel, la victime voit à l’écran la vidéo d’un PDG d’une autre société crypto, « qui semblait être un deepfake », selon Mandiant. Les attaquants prétextent alors un problème de son et poussent la cible à exécuter des commandes de dépannage : c’est la technique dite ClickFix. Honnêteté d’enquêteur, Mandiant précise n’avoir pas pu récupérer de preuve technique confirmant l’usage d’un modèle d’IA dans cet incident précis. Le doute est assumé, ce qui en dit long sur la difficulté d’attribuer ces mises en scène.

Ce que Mandiant a bien retrouvé, c’est l’arsenal : sept familles de logiciels malveillants, dont une porte dérobée C++ (WAVESHAPER), un téléchargeur Go pour macOS (HYPERCALL), une seconde porte dérobée en Go (HIDDENCALL), un voleur de données écrit en Swift (DEEPBREATH) qui pille le trousseau Keychain, les données de navigateurs, Telegram et les notes Apple, un enregistreur de frappe sous forme d’extension Chromium (CHROMEPUSH), plus SILENCELIFT et SUGARLOADER. Le groupe, actif depuis au moins 2018 et recentré sur la Web3 depuis 2023, utilise aussi Google Gemini pour développer son outillage et préparer sa reconnaissance, comme l’a rapporté Dark Reading.

ClickFix mérite qu’on s’y arrête, car c’est le tissu conjonctif de presque toutes ces campagnes. Le principe : afficher une fausse erreur (un CAPTCHA récalcitrant, un pilote audio à réparer, une vérification à effectuer) et guider la victime pour qu’elle copie-colle elle-même une commande dans le Terminal, PowerShell ou la fenêtre Exécuter. L’utilisateur installe son propre logiciel espion. Aucun lien à bloquer, aucune pièce jointe à filtrer, et la méthode fonctionne aussi bien sous Windows que sous macOS.

Dans le cas d’UNC1069, les commandes de réparation audio soumises à la victime n’avaient rien d’anodin : sous macOS, elles enchaînaient des appels système d’apparence légitime avant de télécharger une charge utile depuis un serveur contrôlé par les attaquants, puis de l’exécuter directement dans le shell ; sous Windows, la même mise en scène passait par l’utilitaire mshta. L’infrastructure de commande, des domaines imitant le support de Zoom, et le serveur de diffusion des charges ont été cartographiés par Mandiant. La leçon tient pourtant en une phrase : c’est la victime qui tape elle-même la commande qui l’infecte, en croyant réparer son micro.

BlueNoroff à l’échelle industrielle

Sous un autre nom de suivi, BlueNoroff, la même mouvance nord-coréenne a été observée à grande échelle. Une campagne analysée par Arctic Wolf Labs et relayée par Infosecurity Magazine en avril 2026 a visé plus de 100 organisations crypto dans plus de 20 pays. Le profilage des cibles est éloquent : 80 % travaillaient dans la crypto, la finance blockchain ou des secteurs adjacents, et 45 % étaient des PDG ou fondateurs. La répartition géographique plaçait les États-Unis en tête (41 %), devant Singapour (11 %) et le Royaume-Uni (7 %).

L’outillage mêle liens Zoom et Teams typosquattés, invitations Calendly, attaques ClickFix et contenus deepfake fusionnés avec des images de webcam exfiltrées. Détectée à partir du 23 janvier 2026, la campagne pouvait faire passer une cible du premier clic à la compromission totale en moins de cinq minutes, puis maintenir un accès pendant 66 jours. Plus de 80 domaines typosquattés ont été enregistrés entre fin 2025 et mars 2026, et un serveur hébergeait plus de 950 fichiers. Arctic Wolf décrit « un pipeline d’extraction d’identifiants en plusieurs étapes » qui pillait l’appareil et les navigateurs de la victime, « en ciblant les extensions de portefeuilles crypto ».

Contagious Interview : le faux recruteur et le test de code piégé

Si les dirigeants sont la cible des faux investisseurs, les développeurs sont celle des faux recruteurs. La campagne Contagious Interview, que l’éditeur ESET suit sous le nom de DeceptiveDevelopment et que l’Unit 42 de Palo Alto a documentée dès novembre 2023, inverse la logique du travailleur informatique infiltré : ici, la Corée du Nord n’est pas le faux employé, mais le faux employeur qui contamine les candidats.

Le scénario, détaillé par ESET, est rodé. Depuis des profils de recruteurs, faux ou piratés, sur LinkedIn, Upwork, Freelancer ou Crypto Jobs List, les opérateurs proposent des missions lucratives. Vient ensuite un test technique : il faut récupérer un projet dans un dépôt privé GitHub, GitLab ou Bitbucket, puis le faire tourner. Le code est piégé, souvent caché dans de longs commentaires repoussés hors du champ visible de l’éditeur, à droite de l’écran. À l’exécution s’installent les voleurs d’informations BeaverTail, OtterCookie et WeaselStore, ou le cheval de Troie modulaire InvisibleFerret, sous Windows, Linux comme macOS.

La menace n’a rien de théorique en 2026. Microsoft a confirmé des détections chez ses clients en mars 2026, et la société de conservation d’actifs Fireblocks a révélé en janvier 2026 que son nom était usurpé dans ces approches. Un développeur qui manipule des clés de signature, des portefeuilles de trésorerie ou des infrastructures de production devient, une fois sa machine compromise, une porte d’entrée bien plus précieuse qu’un simple particulier.

Le faux journaliste : l’interview comme appât

Entre le faux fonds et le faux recruteur, il existe une troisième figure : le faux journaliste. Une campagne repérée sur la plateforme de renseignement AlienVault OTX et décrite par Hackread usurpe des journalistes de CoinMarketCap, en reprenant les vrais noms et photos d’anciens contributeurs pour crédibiliser de fausses demandes d’interview adressées à des dirigeants du secteur.

Les courriels partent de domaines à peine déformés, du type team-coinmarketcapcom ou contact-coinmarketcapcom, et proposent un créneau via un lien Calendly aux couleurs de la marque, qui débouche sur un appel Zoom. Pendant la visio, on demande à la cible de passer la langue de son interface en polonais, puis une fausse invite de contrôle d’écran apparaît. Un clic, et l’attaquant obtient l’accès à distance pour déposer son malware ou vider un portefeuille. L’efficacité du prétexte tient à la psychologie : être sollicité pour une interview flatte, et le créneau proposé crée un sentiment d’urgence qui court-circuite la méfiance.

Le deepfake vidéo, arme de persuasion

Le ressort commun à ces campagnes, c’est que voir un visage à l’écran ne prouve plus rien. Le cas le plus cité n’est pas crypto, mais il a valeur d’avertissement : début 2024, un employé du bureau hongkongais du groupe d’ingénierie Arup a exécuté quinze virements pour un total de 200 millions de dollars hongkongais (environ 23,3 M€, soit 25,6 M$) après une visioconférence où tous les autres participants, directeur financier compris, étaient des deepfakes bâtis à partir de vidéos publiques, comme l’a rapporté Fortune. La fraude n’a été découverte qu’une semaine plus tard, et les fonds n’ont jamais été récupérés.

Ce qui coûtait cher et prenait du temps est devenu banal. Les services de génération de deepfakes se louent désormais pour quelques dizaines de dollars, un seuil qui met la mise en scène d’un faux PDG à la portée du premier venu. Et la prudence de Mandiant, incapable de prouver formellement le deepfake d’UNC1069, illustre le vrai problème : la détection court derrière la génération. Dans un appel en direct, le défenseur ne dispose que de quelques centaines de millisecondes pour trancher, un budget que les outils d’analyse peinent à tenir.

Des parades émergent pourtant. Des éditeurs comme Reality Defender proposent une détection de deepfakes en temps réel intégrée aux outils de visioconférence, et plusieurs laboratoires travaillent sur des analyseurs locaux capables de signaler une image synthétique pendant l’appel. Mais aucun de ces dispositifs n’est infaillible, et aucun ne remplace le réflexe de base : si une personne à l’écran demande une action financière ou technique inhabituelle, on raccroche et on vérifie par un canal indépendant avant d’agir. Le visage filmé a cessé d’être une preuve d’identité.

Pourquoi le portefeuille matériel et le clear signing ne suffisent pas

La décennie écoulée a durci les bons endroits : la clé et la signature. Un portefeuille matériel garde la clé privée hors de portée d’un vol à distance. Le clear signing (la norme ERC-7730 portée par la Fondation Ethereum) rend enfin lisible ce que l’on signe. La simulation de transaction, chez des acteurs comme Blockaid ou Scam Sniffer, montre d’avance l’effet d’une signature. Ces défenses sont réelles et utiles. Elles sont aussi, face au spear phishing, largement hors sujet.

La raison est logique. Il n’y a rien à lire dans une signature quand l’arnaque est un appel vidéo ou une commande à coller dans un terminal. La simulation ne voit rien, car le vol ne passe par aucune signature on-chain : un voleur comme DEEPBREATH lit directement le trousseau et les extensions de navigateur. Le portefeuille Ledger de Jake Gallen était intact du point de vue cryptographique ; c’est la machine autour qui a été retournée. Les attaquants n’ont pas forcé la serrure, ils ont convaincu l’occupant d’ouvrir la porte. C’est la même inversion qu’avec le détournement de numéro de téléphone : quand la clé est imprenable, on vise l’humain et l’appareil.

La France en première ligne : ANSSI et Cybermalveillance

Le phénomène n’épargne pas la France. Dans son rapport d’activité 2025, le dispositif public Cybermalveillance.gouv.fr indique avoir traité plus de 504 000 demandes d’assistance, avec l’hameçonnage comme première menace tous publics confondus : 108 000 demandes, en hausse de 70 %. Le rapport note que les messages d’hameçonnage intègrent de plus en plus des données réelles (IBAN, numéro de client, plaque d’immatriculation) issues de fuites, ce qui renforce leur crédibilité, exactement le carburant dont se nourrit le ciblage.

Deux signaux visent directement notre sujet. D’abord, l’arnaque au faux support technique, quatrième menace recensée (5,9 % des cas), est repartie de plus belle début 2025 après une pause liée aux poursuites engagées en 2024 ; Microsoft, Cybermalveillance et la section cybercriminalité du parquet de Paris avaient d’ailleurs appelé à la mobilisation contre ce fléau. Ensuite, le rapport relève que des détenteurs de crypto ont été menacés, agressés, voire enlevés à la suite de fuites de données du secteur, certains réseaux recrutant désormais des équipes sur place. Côté deepfake, l’ANSSI a publié au printemps 2026 des recommandations invitant les organisations à revoir en profondeur leurs procédures de validation à distance.

AMF, MiCA et usurpation d’identité

Côté régulateur, l’Autorité des marchés financiers traite l’usurpation comme une catégorie à part entière de ses listes noires : les escrocs n’imitent pas seulement des prestataires agréés, ils se font parfois passer pour l’AMF elle-même. L’autorité prévient que ces listes, régulièrement mises à jour, ne peuvent être exhaustives, de nouveaux sites non autorisés apparaissant sans cesse. Pour un dirigeant sollicité par un fonds inconnu, un réflexe simple s’impose : vérifier son enregistrement avant toute conversation.

Le cadre MiCA, dont le régime transitoire français pour les prestataires (PSAN) s’est achevé le 1er juillet 2026, impose aux acteurs agréés de protéger les moyens d’accès de leurs clients. Mais un particulier qui installe lui-même un logiciel espion, ou une entreprise comme une trésorerie cotée bâtie sur le Bitcoin dont un cadre serait piégé, se trouve hors de ce périmètre de protection. Et si un compte de dirigeant piraté sert à diffuser une fausse annonce qui fait bouger les cours, on bascule dans la manipulation de marché, couverte par le titre VI de MiCA et par la directive MiFID II.

Pour Andrew Fierman, responsable du renseignement de sécurité nationale chez Chainalysis, l’IA accélère tout le cycle. Elle « pourrait aider les pirates nord-coréens à fabriquer des personas plus convaincants pour l’infiltration par l’identité et à automatiser le blanchiment pour le rendre à la fois plus complexe et plus rapide », déclarait-il à The Block. Autrement dit, le même moteur qui rend le prétexte crédible rend aussi l’argent plus difficile à suivre.

Se défendre : la vérification hors bande d’abord

Puisque l’attaque vise la confiance, la défense doit viser la vérification. Le réflexe central tient en deux mots : hors bande. Toute demande sensible reçue dans un canal (un message Telegram, un courriel, une visio) doit être confirmée dans un autre canal connu et indépendant, par exemple un rappel sur un numéro déjà enregistré. Aucun support légitime, aucune plateforme, aucun recruteur n’a besoin de votre phrase de récupération, d’un code à usage unique ou du contrôle à distance de votre écran.

Côté outils, quelques règles simples coupent la plupart de ces chaînes d’attaque. Elles sont résumées ci-dessous.

Pour une entreprise, le même principe se décline en procédures. Une demande de transfert ou de signature ne devrait jamais reposer sur une seule voix ou un seul visage, fût-il reconnu : un mot de passe convenu à l’avance, une double validation par deux personnes et par deux canaux, et l’interdiction d’exécuter des tests de code ou des appels sensibles sur les machines de production coupent la plupart de ces scénarios. C’est exactement ce que recommande l’ANSSI lorsqu’elle invite à repenser les procédures de validation à distance : partir du principe que l’image et la voix peuvent mentir, et replacer la confiance sur des facteurs que l’attaquant ne contrôle pas.

Que faire si vous avez cliqué

Si le doute s’installe, partez du principe que l’appareil est entièrement compromis. Depuis une machine saine, transférez vos fonds vers un portefeuille neuf associé à une phrase de récupération entièrement nouvelle : un voleur de la famille DEEPBREATH a probablement déjà lu l’ancienne. Révoquez les autorisations de dépense encore actives (via un outil comme revoke.cash), changez vos mots de passe et activez des clés FIDO2 depuis le poste propre, puis réinstallez complètement la machine infectée.

La vitesse compte : la campagne BlueNoroff passait du clic à la compromission en moins de cinq minutes. Signalez l’incident à Cybermalveillance.gouv.fr, déposez plainte, et prévenez l’AMF si un acteur régulé a été usurpé. Conservez les journaux, les liens et l’identité affichée de l’interlocuteur : ces éléments nourrissent l’attribution et, parfois, le gel des fonds par les émetteurs de stablecoins. Rien ne garantit la récupération, mais chaque minute gagnée réduit la surface du vol.

Foire aux questions

Qu’est-ce que le spear phishing en crypto ?

Le spear phishing est un hameçonnage ciblé : au lieu de viser la foule, l’attaquant choisit une personne précise (un dirigeant, un développeur, un gros détenteur) et bâtit un prétexte professionnel crédible, comme une interview, un rendez-vous d’investissement, une offre d’emploi ou un appel du support. L’objectif reste le vol de crypto, mais l’approche est artisanale et personnalisée.

Un portefeuille matériel protège-t-il de ces attaques ?

Pas totalement. Un portefeuille matériel protège la clé privée contre une extraction à distance et contre les signatures piégées, mais il ne protège pas un utilisateur qui installe lui-même un logiciel espion ou qui accorde le contrôle à distance de son écran. Dans le cas ELUSIVE COMET, le Ledger de la victime a été atteint parce que la machine autour avait été compromise.

Comment reconnaître un faux entretien ou un faux appel Zoom ?

Méfiez-vous d’une invitation flatteuse non sollicitée, d’une pression temporelle, de liens Zoom, Teams ou Calendly légèrement déformés, et surtout de toute demande inhabituelle : changer la langue de l’interface, accorder le contrôle à distance, ou coller une commande pour réparer un son. Un contact connu qui vous écrit depuis un canal légèrement différent doit aussi alerter. En cas de doute, vérifiez par un autre moyen avant d’agir.

Qu’est-ce que la technique ClickFix ?

ClickFix est une méthode qui affiche une fausse erreur (CAPTCHA, problème audio, vérification) pour pousser la victime à copier-coller elle-même une commande dans le Terminal, PowerShell ou la fenêtre Exécuter. L’utilisateur installe ainsi son propre logiciel malveillant. La technique contourne les filtres de liens et fonctionne sous Windows comme sous macOS.

Pourquoi la Corée du Nord cible-t-elle autant la crypto ?

Parce que les crypto-actifs sont très liquides, transférables en continu et difficilement réversibles, ce qui en fait une source de financement pour le régime. Selon Chainalysis, les opérateurs nord-coréens ont dérobé un record de 2,02 milliards de dollars en 2025, en privilégiant les vols gros et ciblés sur les dirigeants et les plateformes plutôt que l’hameçonnage de masse.

Par Anneke de Vries, rédactrice sécurité et exploits chez HOGE Wire.