{"id":868,"date":"2026-10-29T22:35:25","date_gmt":"2026-10-29T22:35:25","guid":{"rendered":"https:\/\/hoge.gg\/fr\/spear-phishing-crypto-entretien-attaque-2026\/"},"modified":"2026-10-29T22:35:25","modified_gmt":"2026-10-29T22:35:25","slug":"spear-phishing-crypto-entretien-attaque-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/fr\/spear-phishing-crypto-entretien-attaque-2026\/","title":{"rendered":"Spear phishing crypto 2026 : l’entretien \u00e9tait l’attaque"},"content":{"rendered":"

Pendant des ann\u00e9es, le vol de crypto par hame\u00e7onnage a ressembl\u00e9 \u00e0 une partie de p\u00eache au chalut : des milliers de faux sites, une signature pi\u00e9g\u00e9e, un portefeuille vid\u00e9 en quelques secondes. Ce mod\u00e8le de masse s’effondre. \u00c0 sa place monte quelque chose de plus patient et de bien plus co\u00fbteux : des campagnes de spear phishing qui ne visent pas la foule mais une poign\u00e9e de cibles choisies, dirigeants, d\u00e9veloppeurs, tr\u00e9soriers d’entreprise, et qui remplacent le lien malveillant par une conversation.<\/p>

Le 29 octobre 2026, le Bitcoin s’\u00e9change autour de 72 769 \u20ac (environ 80 036 $) et l’Ethereum pr\u00e8s de 2 081 \u20ac (environ 2 320 $) selon CoinGecko<\/a>, au lendemain d’une r\u00e9union de la Fed<\/a> que les march\u00e9s crypto ont scrut\u00e9e de pr\u00e8s et dont d\u00e9pend en partie l’humeur de fin d’ann\u00e9e<\/a>. Mais l’\u00e9volution la plus lourde du trimestre n’est pas un graphique de prix : c’est la bascule d’une industrie criminelle qui a cess\u00e9 de ratisser large pour chasser gros.<\/p>

Le pr\u00e9texte est la charge utile<\/h2>

Dans ces campagnes, il n’y a souvent aucun lien malveillant \u00e0 rep\u00e9rer, aucun faux site \u00e0 d\u00e9masquer. L’exploit, c’est une situation professionnelle plausible : une invitation \u00e0 un podcast, un rendez-vous avec un fonds d’investissement, un entretien d’embauche, un appel du support. La charge utile est livr\u00e9e par la victime elle-m\u00eame, qui colle une commande dans son terminal, accorde le contr\u00f4le \u00e0 distance de son \u00e9cran ou ex\u00e9cute un test de code. Le maillon exploit\u00e9 n’est ni le contrat intelligent ni la cl\u00e9 : c’est la confiance et la routine de travail.<\/p>

Cette bascule rend inop\u00e9rants la plupart des r\u00e9flexes de s\u00e9curit\u00e9 acquis depuis dix ans. Un filtre anti-spam ne bloque pas une invitation Calendly envoy\u00e9e depuis un compte Telegram r\u00e9el mais pirat\u00e9. Un portefeuille mat\u00e9riel prot\u00e8ge une cl\u00e9, pas un utilisateur qui installe lui-m\u00eame un logiciel espion. Contrairement \u00e0 une faille de pont ou de contrat, comme celles racont\u00e9es dans notre dossier sur les ponts crypto et les jetons fabriqu\u00e9s de toutes pi\u00e8ces<\/a>, ces attaques n’ont besoin d’aucun bug logiciel. Il leur suffit d’un pr\u00e9texte cr\u00e9dible et d’un humain press\u00e9.<\/p>

Deux vitesses : le drainer de masse recule, la chasse cibl\u00e9e explose<\/h2>

Les chiffres racontent deux histoires oppos\u00e9es. C\u00f4t\u00e9 hame\u00e7onnage de masse, l’effondrement est spectaculaire : d’apr\u00e8s le bilan annuel de Scam Sniffer<\/a>, les pertes li\u00e9es aux wallet drainers (ces signatures pi\u00e9g\u00e9es qui vident un portefeuille) sont tomb\u00e9es \u00e0 83,85 millions de dollars (environ 76 M\u20ac) en 2025, contre 494 millions (environ 449 M\u20ac) en 2024, soit une chute de 83 %. Le nombre de victimes a recul\u00e9 de 332 000 \u00e0 106 106, et seuls 11 vols ont d\u00e9pass\u00e9 le million de dollars, contre 30 l’ann\u00e9e pr\u00e9c\u00e9dente. Le plus gros larcin unitaire de l’ann\u00e9e, 6,5 millions de dollars via une signature Permit en septembre, aurait fait figure de prise ordinaire deux ans plus t\u00f4t.<\/p>

C\u00f4t\u00e9 vol cibl\u00e9, la courbe grimpe. Le rapport 2026 de Chainalysis<\/a> chiffre \u00e0 3,4 milliards de dollars (environ 3,1 Md\u20ac) le total d\u00e9rob\u00e9 en 2025, dont un record de 2,02 milliards (environ 1,84 Md\u20ac) attribu\u00e9 \u00e0 la Cor\u00e9e du Nord, en hausse de 51 % sur un an et de pr\u00e8s de 6,7 milliards cumul\u00e9s en une d\u00e9cennie, comme l’a relev\u00e9 Infosecurity Magazine<\/a>. Les op\u00e9rateurs nord-cor\u00e9ens r\u00e9alisent des vols plus gros avec moins d’incidents, soit en infiltrant des employ\u00e9s dans les plateformes, soit en manipulant directement leurs dirigeants. Moins de filets, mais de bien plus gros poissons.<\/p>

La concentration est le vrai marqueur de cette bascule. Toujours selon Scam Sniffer, janvier 2026 a vu les pertes par signature pi\u00e9g\u00e9e bondir de 207 % par rapport \u00e0 d\u00e9cembre, \u00e0 6,27 millions de dollars (environ 5,7 M\u20ac) pour 4 741 victimes, mais deux victimes \u00e0 elles seules ont repr\u00e9sent\u00e9 pr\u00e8s de 65 % du total, comme l’a relev\u00e9 Bitget<\/a>. Un seul signataire a perdu 3,02 millions de dollars (environ 2,75 M\u20ac) sur une autorisation malveillante. Quand une poign\u00e9e de portefeuilles p\u00e8se l’essentiel du butin, l’incitation \u00e0 personnaliser l’attaque devient \u00e9crasante : viser un dirigeant fortun\u00e9 rapporte davantage que pi\u00e9ger mille petits porteurs, et c’est pr\u00e9cis\u00e9ment le calcul qui nourrit les campagnes d\u00e9crites plus bas.<\/p>

Indicateur (source)<\/th>2024<\/th>2025<\/th><\/tr><\/thead>
Pertes par wallet drainers (Scam Sniffer)<\/td>449 M\u20ac (494 M$)<\/td>76 M\u20ac (83,85 M$)<\/td><\/tr>
Victimes recens\u00e9es (Scam Sniffer)<\/td>332 000<\/td>106 106<\/td><\/tr>
Vols unitaires sup\u00e9rieurs \u00e0 1 M$ (Scam Sniffer)<\/td>30<\/td>11<\/td><\/tr>
Perte moyenne par victime (Scam Sniffer)<\/td>plus \u00e9lev\u00e9e<\/td>environ 720 \u20ac (790 $)<\/td><\/tr>
Vol crypto total, tous vecteurs (Chainalysis)<\/td>n.d.<\/td>3,1 Md\u20ac (3,4 Md$)<\/td><\/tr>
Part attribu\u00e9e \u00e0 la Cor\u00e9e du Nord (Chainalysis)<\/td>n.d.<\/td>1,84 Md\u20ac (2,02 Md$)<\/td><\/tr><\/tbody><\/table><\/figure>

ELUSIVE COMET : le faux podcast qui prend le contr\u00f4le de l’\u00e9cran<\/h2>

Le cas d’\u00e9cole porte un nom de code : ELUSIVE COMET. Dans une alerte publi\u00e9e par la Security Alliance (SEAL)<\/a>, les enqu\u00eateurs d\u00e9crivent un acteur qui s’est construit une fa\u00e7ade enti\u00e8re : un faux fonds de capital-risque, Aureon Capital, doubl\u00e9 d’une fausse maison de presse, Aureon Press, et d’une \u00e9mission, The OnChain Podcast. L’approche se fait par message priv\u00e9 sur X ou par courriel, en invitant la cible \u00e0 venir parler de son travail comme invit\u00e9e du podcast. SEAL juge le groupe \u00ab responsable de millions de dollars de fonds d\u00e9rob\u00e9s \u00bb.<\/p>

Le pi\u00e8ge se referme pendant l’appel Zoom. L’attaquant lance un partage d’\u00e9cran, puis demande la prise de contr\u00f4le \u00e0 distance de la machine de la victime. Si celle-ci n’y pr\u00eate pas attention, elle peut accorder cet acc\u00e8s en croyant valider une demande de routine. SEAL recommande sans d\u00e9tour de d\u00e9sactiver purement et simplement la fonction de contr\u00f4le \u00e0 distance de Zoom.<\/p>

Jake Gallen, PDG d’Emblem Vault, en a fait l’am\u00e8re exp\u00e9rience. Le 11 avril 2025, il raconte avoir perdu plus de 100 000 $ (plus de 91 000 \u20ac) d’actifs num\u00e9riques apr\u00e8s un appel vid\u00e9o avec une personne se pr\u00e9sentant comme un m\u00e9dia. Un logiciel baptis\u00e9 GOOPDATE a \u00e9t\u00e9 install\u00e9 sur son ordinateur, puis a siphonn\u00e9 ses identifiants et acc\u00e9d\u00e9 \u00e0 ses portefeuilles, selon le r\u00e9cit recueilli par Cointelegraph<\/a>. Son explication du m\u00e9canisme est gla\u00e7ante de simplicit\u00e9 : \u00ab Pour que cette arnaque fonctionne, il faut que l’invit\u00e9 de l’appel vid\u00e9o Zoom accorde l’acc\u00e8s \u00e0 distance \u00e0 l’h\u00f4te, une fonction activable qui est activ\u00e9e par d\u00e9faut sur chaque compte Zoom. \u00bb Les attaquants ont m\u00eame atteint son portefeuille mat\u00e9riel Ledger, qu’il n’avait pourtant ouvert que quelques fois en trois ans, avant de d\u00e9tourner son compte X pour viser d’autres cibles.<\/p>

Comment un appel vid\u00e9o devient une prise de contr\u00f4le<\/h2>

La force de ce vecteur tient \u00e0 un d\u00e9tail d’interface. Pendant un partage d’\u00e9cran, la bo\u00eete de dialogue qui demande l’autorisation de contr\u00f4le \u00e0 distance ressemble \u00e0 n’importe quelle notification anodine de l’application. L’attaquant laisse souvent sa propre cam\u00e9ra \u00e9teinte, de sorte que la cible n’a aucun visage \u00e0 associer \u00e0 la demande. Une seule validation distraite suffit : \u00e0 partir de l\u00e0, l’adversaire pilote le clavier et la souris de la victime, t\u00e9l\u00e9charge et ex\u00e9cute un programme, d\u00e9sactive des protections, le tout depuis une session de visioconf\u00e9rence parfaitement banale.<\/p>

Ce sch\u00e9ma n’est pas cantonn\u00e9 \u00e0 Zoom ni \u00e0 un seul groupe. Il r\u00e9appara\u00eet dans des campagnes qui usurpent des journalistes, des recruteurs ou des partenaires commerciaux, toujours autour du m\u00eame pivot : convaincre la cible d’ex\u00e9cuter une action sur sa propre machine. C’est l’exact miroir du SIM swapping<\/a>, o\u00f9 l’attaquant ne touche jamais la cl\u00e9 priv\u00e9e mais d\u00e9tourne le num\u00e9ro de t\u00e9l\u00e9phone pour faire tomber la cascade de r\u00e9cup\u00e9ration. Ici non plus, personne ne casse la cryptographie : on persuade l’humain de l’ouvrir de l’int\u00e9rieur.<\/p>

UNC1069 : le deepfake en direct et la combine ClickFix<\/h2>

Le 9 f\u00e9vrier 2026, les analystes de Mandiant (Google Cloud) Ross Inman et Adrian Hernandez ont document\u00e9 une op\u00e9ration d’une sophistication nouvelle, attribu\u00e9e avec un haut niveau de confiance au groupe nord-cor\u00e9en UNC1069<\/a>. La cha\u00eene d’attaque commence par le compte Telegram, r\u00e9el mais pirat\u00e9, d’un dirigeant du secteur. Depuis ce compte de confiance, l’attaquant envoie un lien Calendly pour caler une r\u00e9union de trente minutes, qui renvoie vers un faux Zoom h\u00e9berg\u00e9 sur une infrastructure contr\u00f4l\u00e9e par le groupe.<\/p>

Pendant l’appel, la victime voit \u00e0 l’\u00e9cran la vid\u00e9o d’un PDG d’une autre soci\u00e9t\u00e9 crypto, \u00ab qui semblait \u00eatre un deepfake \u00bb, selon Mandiant. Les attaquants pr\u00e9textent alors un probl\u00e8me de son et poussent la cible \u00e0 ex\u00e9cuter des commandes de d\u00e9pannage : c’est la technique dite ClickFix. Honn\u00eatet\u00e9 d’enqu\u00eateur, Mandiant pr\u00e9cise n’avoir pas pu r\u00e9cup\u00e9rer de preuve technique confirmant l’usage d’un mod\u00e8le d’IA dans cet incident pr\u00e9cis. Le doute est assum\u00e9, ce qui en dit long sur la difficult\u00e9 d’attribuer ces mises en sc\u00e8ne.<\/p>

Ce que Mandiant a bien retrouv\u00e9, c’est l’arsenal : sept familles de logiciels malveillants, dont une porte d\u00e9rob\u00e9e C++ (WAVESHAPER), un t\u00e9l\u00e9chargeur Go pour macOS (HYPERCALL), une seconde porte d\u00e9rob\u00e9e en Go (HIDDENCALL), un voleur de donn\u00e9es \u00e9crit en Swift (DEEPBREATH) qui pille le trousseau Keychain, les donn\u00e9es de navigateurs, Telegram et les notes Apple, un enregistreur de frappe sous forme d’extension Chromium (CHROMEPUSH), plus SILENCELIFT et SUGARLOADER. Le groupe, actif depuis au moins 2018 et recentr\u00e9 sur la Web3 depuis 2023, utilise aussi Google Gemini pour d\u00e9velopper son outillage et pr\u00e9parer sa reconnaissance, comme l’a rapport\u00e9 Dark Reading<\/a>.<\/p>

ClickFix m\u00e9rite qu’on s’y arr\u00eate, car c’est le tissu conjonctif de presque toutes ces campagnes. Le principe : afficher une fausse erreur (un CAPTCHA r\u00e9calcitrant, un pilote audio \u00e0 r\u00e9parer, une v\u00e9rification \u00e0 effectuer) et guider la victime pour qu’elle copie-colle elle-m\u00eame une commande dans le Terminal, PowerShell ou la fen\u00eatre Ex\u00e9cuter. L’utilisateur installe son propre logiciel espion. Aucun lien \u00e0 bloquer, aucune pi\u00e8ce jointe \u00e0 filtrer, et la m\u00e9thode fonctionne aussi bien sous Windows que sous macOS.<\/p>

Dans le cas d’UNC1069, les commandes de r\u00e9paration audio soumises \u00e0 la victime n’avaient rien d’anodin : sous macOS, elles encha\u00eenaient des appels syst\u00e8me d’apparence l\u00e9gitime avant de t\u00e9l\u00e9charger une charge utile depuis un serveur contr\u00f4l\u00e9 par les attaquants, puis de l’ex\u00e9cuter directement dans le shell ; sous Windows, la m\u00eame mise en sc\u00e8ne passait par l’utilitaire mshta. L’infrastructure de commande, des domaines imitant le support de Zoom, et le serveur de diffusion des charges ont \u00e9t\u00e9 cartographi\u00e9s par Mandiant. La le\u00e7on tient pourtant en une phrase : c’est la victime qui tape elle-m\u00eame la commande qui l’infecte, en croyant r\u00e9parer son micro.<\/p>

BlueNoroff \u00e0 l’\u00e9chelle industrielle<\/h2>

Sous un autre nom de suivi, BlueNoroff, la m\u00eame mouvance nord-cor\u00e9enne a \u00e9t\u00e9 observ\u00e9e \u00e0 grande \u00e9chelle. Une campagne analys\u00e9e par Arctic Wolf Labs et relay\u00e9e par Infosecurity Magazine<\/a> en avril 2026 a vis\u00e9 plus de 100 organisations crypto dans plus de 20 pays. Le profilage des cibles est \u00e9loquent : 80 % travaillaient dans la crypto, la finance blockchain ou des secteurs adjacents, et 45 % \u00e9taient des PDG ou fondateurs. La r\u00e9partition g\u00e9ographique pla\u00e7ait les \u00c9tats-Unis en t\u00eate (41 %), devant Singapour (11 %) et le Royaume-Uni (7 %).<\/p>

L’outillage m\u00eale liens Zoom et Teams typosquatt\u00e9s, invitations Calendly, attaques ClickFix et contenus deepfake fusionn\u00e9s avec des images de webcam exfiltr\u00e9es. D\u00e9tect\u00e9e \u00e0 partir du 23 janvier 2026, la campagne pouvait faire passer une cible du premier clic \u00e0 la compromission totale en moins de cinq minutes, puis maintenir un acc\u00e8s pendant 66 jours. Plus de 80 domaines typosquatt\u00e9s ont \u00e9t\u00e9 enregistr\u00e9s entre fin 2025 et mars 2026, et un serveur h\u00e9bergeait plus de 950 fichiers. Arctic Wolf d\u00e9crit \u00ab un pipeline d’extraction d’identifiants en plusieurs \u00e9tapes \u00bb qui pillait l’appareil et les navigateurs de la victime, \u00ab en ciblant les extensions de portefeuilles crypto \u00bb.<\/p>

Campagne<\/th>Attribution<\/th>Pr\u00e9texte<\/th>M\u00e9canisme cl\u00e9<\/th>Charge utile<\/th><\/tr><\/thead>
ELUSIVE COMET<\/td>non attribu\u00e9e (SEAL)<\/td>faux fonds, faux podcast<\/td>contr\u00f4le \u00e0 distance Zoom<\/td>GOOPDATE, vol de cl\u00e9s et d’identifiants<\/td><\/tr>
UNC1069 \/ BlueNoroff<\/td>Cor\u00e9e du Nord (Mandiant, Arctic Wolf)<\/td>Telegram pirat\u00e9, deepfake de PDG<\/td>ClickFix (faux bug audio)<\/td>7 familles de malware macOS et Windows<\/td><\/tr>
Contagious Interview \/ DeceptiveDevelopment<\/td>Cor\u00e9e du Nord (ESET, Unit 42)<\/td>faux recruteur, test de code<\/td>d\u00e9p\u00f4t Git pi\u00e9g\u00e9<\/td>BeaverTail, OtterCookie, InvisibleFerret<\/td><\/tr>
Faux journaliste<\/td>non attribu\u00e9e (AlienVault OTX)<\/td>fausse interview presse<\/td>contr\u00f4le \u00e0 distance Zoom<\/td>malware, vol d’identifiants et de portefeuilles<\/td><\/tr>
Faux support<\/td>acteurs vari\u00e9s<\/td>imposture du support (Ledger, Trezor, plateforme)<\/td>divulgation de la seed ou de l’OTP<\/td>vol direct, sans logiciel malveillant<\/td><\/tr><\/tbody><\/table><\/figure>

Contagious Interview : le faux recruteur et le test de code pi\u00e9g\u00e9<\/h2>

Si les dirigeants sont la cible des faux investisseurs, les d\u00e9veloppeurs sont celle des faux recruteurs. La campagne Contagious Interview, que l’\u00e9diteur ESET suit sous le nom de DeceptiveDevelopment et que l’Unit 42 de Palo Alto a document\u00e9e d\u00e8s novembre 2023, inverse la logique du travailleur informatique infiltr\u00e9 : ici, la Cor\u00e9e du Nord n’est pas le faux employ\u00e9, mais le faux employeur qui contamine les candidats.<\/p>

Le sc\u00e9nario, d\u00e9taill\u00e9 par ESET<\/a>, est rod\u00e9. Depuis des profils de recruteurs, faux ou pirat\u00e9s, sur LinkedIn, Upwork, Freelancer ou Crypto Jobs List, les op\u00e9rateurs proposent des missions lucratives. Vient ensuite un test technique : il faut r\u00e9cup\u00e9rer un projet dans un d\u00e9p\u00f4t priv\u00e9 GitHub, GitLab ou Bitbucket, puis le faire tourner. Le code est pi\u00e9g\u00e9, souvent cach\u00e9 dans de longs commentaires repouss\u00e9s hors du champ visible de l’\u00e9diteur, \u00e0 droite de l’\u00e9cran. \u00c0 l’ex\u00e9cution s’installent les voleurs d’informations BeaverTail, OtterCookie et WeaselStore, ou le cheval de Troie modulaire InvisibleFerret, sous Windows, Linux comme macOS.<\/p>

La menace n’a rien de th\u00e9orique en 2026. Microsoft<\/a> a confirm\u00e9 des d\u00e9tections chez ses clients en mars 2026, et la soci\u00e9t\u00e9 de conservation d’actifs Fireblocks a r\u00e9v\u00e9l\u00e9 en janvier 2026 que son nom \u00e9tait usurp\u00e9 dans ces approches. Un d\u00e9veloppeur qui manipule des cl\u00e9s de signature, des portefeuilles de tr\u00e9sorerie ou des infrastructures de production devient, une fois sa machine compromise, une porte d’entr\u00e9e bien plus pr\u00e9cieuse qu’un simple particulier.<\/p>

Le faux journaliste : l’interview comme app\u00e2t<\/h2>

Entre le faux fonds et le faux recruteur, il existe une troisi\u00e8me figure : le faux journaliste. Une campagne rep\u00e9r\u00e9e sur la plateforme de renseignement AlienVault OTX et d\u00e9crite par Hackread<\/a> usurpe des journalistes de CoinMarketCap, en reprenant les vrais noms et photos d’anciens contributeurs pour cr\u00e9dibiliser de fausses demandes d’interview adress\u00e9es \u00e0 des dirigeants du secteur.<\/p>

Les courriels partent de domaines \u00e0 peine d\u00e9form\u00e9s, du type team-coinmarketcapcom ou contact-coinmarketcapcom, et proposent un cr\u00e9neau via un lien Calendly aux couleurs de la marque, qui d\u00e9bouche sur un appel Zoom. Pendant la visio, on demande \u00e0 la cible de passer la langue de son interface en polonais, puis une fausse invite de contr\u00f4le d’\u00e9cran appara\u00eet. Un clic, et l’attaquant obtient l’acc\u00e8s \u00e0 distance pour d\u00e9poser son malware ou vider un portefeuille. L’efficacit\u00e9 du pr\u00e9texte tient \u00e0 la psychologie : \u00eatre sollicit\u00e9 pour une interview flatte, et le cr\u00e9neau propos\u00e9 cr\u00e9e un sentiment d’urgence qui court-circuite la m\u00e9fiance.<\/p>

Le deepfake vid\u00e9o, arme de persuasion<\/h2>

Le ressort commun \u00e0 ces campagnes, c’est que voir un visage \u00e0 l’\u00e9cran ne prouve plus rien. Le cas le plus cit\u00e9 n’est pas crypto, mais il a valeur d’avertissement : d\u00e9but 2024, un employ\u00e9 du bureau hongkongais du groupe d’ing\u00e9nierie Arup a ex\u00e9cut\u00e9 quinze virements pour un total de 200 millions de dollars hongkongais (environ 23,3 M\u20ac, soit 25,6 M$) apr\u00e8s une visioconf\u00e9rence o\u00f9 tous les autres participants, directeur financier compris, \u00e9taient des deepfakes b\u00e2tis \u00e0 partir de vid\u00e9os publiques, comme l’a rapport\u00e9 Fortune<\/a>. La fraude n’a \u00e9t\u00e9 d\u00e9couverte qu’une semaine plus tard, et les fonds n’ont jamais \u00e9t\u00e9 r\u00e9cup\u00e9r\u00e9s.<\/p>

Ce qui co\u00fbtait cher et prenait du temps est devenu banal. Les services de g\u00e9n\u00e9ration de deepfakes se louent d\u00e9sormais pour quelques dizaines de dollars, un seuil qui met la mise en sc\u00e8ne d’un faux PDG \u00e0 la port\u00e9e du premier venu. Et la prudence de Mandiant, incapable de prouver formellement le deepfake d’UNC1069, illustre le vrai probl\u00e8me : la d\u00e9tection court derri\u00e8re la g\u00e9n\u00e9ration. Dans un appel en direct, le d\u00e9fenseur ne dispose que de quelques centaines de millisecondes pour trancher, un budget que les outils d’analyse peinent \u00e0 tenir.<\/p>

Des parades \u00e9mergent pourtant. Des \u00e9diteurs comme Reality Defender proposent une d\u00e9tection de deepfakes en temps r\u00e9el int\u00e9gr\u00e9e aux outils de visioconf\u00e9rence, et plusieurs laboratoires travaillent sur des analyseurs locaux capables de signaler une image synth\u00e9tique pendant l’appel. Mais aucun de ces dispositifs n’est infaillible, et aucun ne remplace le r\u00e9flexe de base : si une personne \u00e0 l’\u00e9cran demande une action financi\u00e8re ou technique inhabituelle, on raccroche et on v\u00e9rifie par un canal ind\u00e9pendant avant d’agir. Le visage film\u00e9 a cess\u00e9 d’\u00eatre une preuve d’identit\u00e9.<\/p>

Pourquoi le portefeuille mat\u00e9riel et le clear signing ne suffisent pas<\/h2>

La d\u00e9cennie \u00e9coul\u00e9e a durci les bons endroits : la cl\u00e9 et la signature. Un portefeuille mat\u00e9riel garde la cl\u00e9 priv\u00e9e hors de port\u00e9e d’un vol \u00e0 distance. Le clear signing (la norme ERC-7730 port\u00e9e par la Fondation Ethereum) rend enfin lisible ce que l’on signe. La simulation de transaction, chez des acteurs comme Blockaid ou Scam Sniffer, montre d’avance l’effet d’une signature. Ces d\u00e9fenses sont r\u00e9elles et utiles. Elles sont aussi, face au spear phishing, largement hors sujet.<\/p>

La raison est logique. Il n’y a rien \u00e0 lire dans une signature quand l’arnaque est un appel vid\u00e9o ou une commande \u00e0 coller dans un terminal. La simulation ne voit rien, car le vol ne passe par aucune signature on-chain : un voleur comme DEEPBREATH lit directement le trousseau et les extensions de navigateur. Le portefeuille Ledger de Jake Gallen \u00e9tait intact du point de vue cryptographique ; c’est la machine autour qui a \u00e9t\u00e9 retourn\u00e9e. Les attaquants n’ont pas forc\u00e9 la serrure, ils ont convaincu l’occupant d’ouvrir la porte. C’est la m\u00eame inversion qu’avec le d\u00e9tournement de num\u00e9ro de t\u00e9l\u00e9phone : quand la cl\u00e9 est imprenable, on vise l’humain et l’appareil.<\/p>

La France en premi\u00e8re ligne : ANSSI et Cybermalveillance<\/h2>

Le ph\u00e9nom\u00e8ne n’\u00e9pargne pas la France. Dans son rapport d’activit\u00e9 2025<\/a>, le dispositif public Cybermalveillance.gouv.fr indique avoir trait\u00e9 plus de 504 000 demandes d’assistance, avec l’hame\u00e7onnage comme premi\u00e8re menace tous publics confondus : 108 000 demandes, en hausse de 70 %. Le rapport note que les messages d’hame\u00e7onnage int\u00e8grent de plus en plus des donn\u00e9es r\u00e9elles (IBAN, num\u00e9ro de client, plaque d’immatriculation) issues de fuites, ce qui renforce leur cr\u00e9dibilit\u00e9, exactement le carburant dont se nourrit le ciblage.<\/p>

Deux signaux visent directement notre sujet. D’abord, l’arnaque au faux support technique, quatri\u00e8me menace recens\u00e9e (5,9 % des cas), est repartie de plus belle d\u00e9but 2025 apr\u00e8s une pause li\u00e9e aux poursuites engag\u00e9es en 2024 ; Microsoft, Cybermalveillance et la section cybercriminalit\u00e9 du parquet de Paris avaient d’ailleurs appel\u00e9 \u00e0 la mobilisation contre ce fl\u00e9au. Ensuite, le rapport rel\u00e8ve que des d\u00e9tenteurs de crypto ont \u00e9t\u00e9 menac\u00e9s, agress\u00e9s, voire enlev\u00e9s \u00e0 la suite de fuites de donn\u00e9es du secteur, certains r\u00e9seaux recrutant d\u00e9sormais des \u00e9quipes sur place. C\u00f4t\u00e9 deepfake, l’ANSSI a publi\u00e9 au printemps 2026 des recommandations invitant les organisations \u00e0 revoir en profondeur leurs proc\u00e9dures de validation \u00e0 distance.<\/p>

AMF, MiCA et usurpation d’identit\u00e9<\/h2>

C\u00f4t\u00e9 r\u00e9gulateur, l’Autorit\u00e9 des march\u00e9s financiers<\/a> traite l’usurpation comme une cat\u00e9gorie \u00e0 part enti\u00e8re de ses listes noires : les escrocs n’imitent pas seulement des prestataires agr\u00e9\u00e9s, ils se font parfois passer pour l’AMF elle-m\u00eame. L’autorit\u00e9 pr\u00e9vient que ces listes, r\u00e9guli\u00e8rement mises \u00e0 jour, ne peuvent \u00eatre exhaustives, de nouveaux sites non autoris\u00e9s apparaissant sans cesse. Pour un dirigeant sollicit\u00e9 par un fonds inconnu, un r\u00e9flexe simple s’impose : v\u00e9rifier son enregistrement avant toute conversation.<\/p>

Le cadre MiCA, dont le r\u00e9gime transitoire fran\u00e7ais pour les prestataires (PSAN) s’est achev\u00e9 le 1er juillet 2026, impose aux acteurs agr\u00e9\u00e9s de prot\u00e9ger les moyens d’acc\u00e8s de leurs clients. Mais un particulier qui installe lui-m\u00eame un logiciel espion, ou une entreprise comme une tr\u00e9sorerie cot\u00e9e b\u00e2tie sur le Bitcoin<\/a> dont un cadre serait pi\u00e9g\u00e9, se trouve hors de ce p\u00e9rim\u00e8tre de protection. Et si un compte de dirigeant pirat\u00e9 sert \u00e0 diffuser une fausse annonce qui fait bouger les cours, on bascule dans la manipulation de march\u00e9, couverte par le titre VI de MiCA et par la directive MiFID II.<\/p>

Pour Andrew Fierman, responsable du renseignement de s\u00e9curit\u00e9 nationale chez Chainalysis, l’IA acc\u00e9l\u00e8re tout le cycle. Elle \u00ab pourrait aider les pirates nord-cor\u00e9ens \u00e0 fabriquer des personas plus convaincants pour l’infiltration par l’identit\u00e9 et \u00e0 automatiser le blanchiment pour le rendre \u00e0 la fois plus complexe et plus rapide \u00bb, d\u00e9clarait-il \u00e0 The Block<\/a>. Autrement dit, le m\u00eame moteur qui rend le pr\u00e9texte cr\u00e9dible rend aussi l’argent plus difficile \u00e0 suivre.<\/p>

Se d\u00e9fendre : la v\u00e9rification hors bande d’abord<\/h2>

Puisque l’attaque vise la confiance, la d\u00e9fense doit viser la v\u00e9rification. Le r\u00e9flexe central tient en deux mots : hors bande. Toute demande sensible re\u00e7ue dans un canal (un message Telegram, un courriel, une visio) doit \u00eatre confirm\u00e9e dans un autre canal connu et ind\u00e9pendant, par exemple un rappel sur un num\u00e9ro d\u00e9j\u00e0 enregistr\u00e9. Aucun support l\u00e9gitime, aucune plateforme, aucun recruteur n’a besoin de votre phrase de r\u00e9cup\u00e9ration, d’un code \u00e0 usage unique ou du contr\u00f4le \u00e0 distance de votre \u00e9cran.<\/p>

C\u00f4t\u00e9 outils, quelques r\u00e8gles simples coupent la plupart de ces cha\u00eenes d’attaque. Elles sont r\u00e9sum\u00e9es ci-dessous.<\/p>

Vecteur d’attaque<\/th>Parade recommand\u00e9e<\/th><\/tr><\/thead>
Contr\u00f4le \u00e0 distance pendant un appel<\/td>D\u00e9sactiver la fonction dans Zoom (recommandation SEAL)<\/td><\/tr>
ClickFix, commande \u00e0 coller<\/td>Ne jamais ex\u00e9cuter une commande fournie par un tiers dans un terminal<\/td><\/tr>
Deepfake en direct<\/td>V\u00e9rification hors bande et mot de passe convenu \u00e0 l’avance<\/td><\/tr>
Test de code de recruteur<\/td>Machine jetable ou VM isol\u00e9e, jamais le poste principal<\/td><\/tr>
Message d’un contact connu (compte pirat\u00e9)<\/td>Rappeler sur un canal distinct avant d’agir<\/td><\/tr>
Comptes et cl\u00e9s<\/td>Passkeys FIDO2 et appareil de signature d\u00e9di\u00e9, hors des appels<\/td><\/tr><\/tbody><\/table><\/figure>

Pour une entreprise, le m\u00eame principe se d\u00e9cline en proc\u00e9dures. Une demande de transfert ou de signature ne devrait jamais reposer sur une seule voix ou un seul visage, f\u00fbt-il reconnu : un mot de passe convenu \u00e0 l’avance, une double validation par deux personnes et par deux canaux, et l’interdiction d’ex\u00e9cuter des tests de code ou des appels sensibles sur les machines de production coupent la plupart de ces sc\u00e9narios. C’est exactement ce que recommande l’ANSSI lorsqu’elle invite \u00e0 repenser les proc\u00e9dures de validation \u00e0 distance : partir du principe que l’image et la voix peuvent mentir, et replacer la confiance sur des facteurs que l’attaquant ne contr\u00f4le pas.<\/p>

Que faire si vous avez cliqu\u00e9<\/h2>

Si le doute s’installe, partez du principe que l’appareil est enti\u00e8rement compromis. Depuis une machine saine, transf\u00e9rez vos fonds vers un portefeuille neuf associ\u00e9 \u00e0 une phrase de r\u00e9cup\u00e9ration enti\u00e8rement nouvelle : un voleur de la famille DEEPBREATH a probablement d\u00e9j\u00e0 lu l’ancienne. R\u00e9voquez les autorisations de d\u00e9pense encore actives (via un outil comme revoke.cash), changez vos mots de passe et activez des cl\u00e9s FIDO2 depuis le poste propre, puis r\u00e9installez compl\u00e8tement la machine infect\u00e9e.<\/p>

La vitesse compte : la campagne BlueNoroff passait du clic \u00e0 la compromission en moins de cinq minutes. Signalez l’incident \u00e0 Cybermalveillance.gouv.fr, d\u00e9posez plainte, et pr\u00e9venez l’AMF si un acteur r\u00e9gul\u00e9 a \u00e9t\u00e9 usurp\u00e9. Conservez les journaux, les liens et l’identit\u00e9 affich\u00e9e de l’interlocuteur : ces \u00e9l\u00e9ments nourrissent l’attribution et, parfois, le gel des fonds par les \u00e9metteurs de stablecoins. Rien ne garantit la r\u00e9cup\u00e9ration, mais chaque minute gagn\u00e9e r\u00e9duit la surface du vol.<\/p>

Foire aux questions<\/h2>

Qu’est-ce que le spear phishing en crypto ?<\/h3>

Le spear phishing est un hame\u00e7onnage cibl\u00e9 : au lieu de viser la foule, l’attaquant choisit une personne pr\u00e9cise (un dirigeant, un d\u00e9veloppeur, un gros d\u00e9tenteur) et b\u00e2tit un pr\u00e9texte professionnel cr\u00e9dible, comme une interview, un rendez-vous d’investissement, une offre d’emploi ou un appel du support. L’objectif reste le vol de crypto, mais l’approche est artisanale et personnalis\u00e9e.<\/p>

Un portefeuille mat\u00e9riel prot\u00e8ge-t-il de ces attaques ?<\/h3>

Pas totalement. Un portefeuille mat\u00e9riel prot\u00e8ge la cl\u00e9 priv\u00e9e contre une extraction \u00e0 distance et contre les signatures pi\u00e9g\u00e9es, mais il ne prot\u00e8ge pas un utilisateur qui installe lui-m\u00eame un logiciel espion ou qui accorde le contr\u00f4le \u00e0 distance de son \u00e9cran. Dans le cas ELUSIVE COMET, le Ledger de la victime a \u00e9t\u00e9 atteint parce que la machine autour avait \u00e9t\u00e9 compromise.<\/p>

Comment reconna\u00eetre un faux entretien ou un faux appel Zoom ?<\/h3>

M\u00e9fiez-vous d’une invitation flatteuse non sollicit\u00e9e, d’une pression temporelle, de liens Zoom, Teams ou Calendly l\u00e9g\u00e8rement d\u00e9form\u00e9s, et surtout de toute demande inhabituelle : changer la langue de l’interface, accorder le contr\u00f4le \u00e0 distance, ou coller une commande pour r\u00e9parer un son. Un contact connu qui vous \u00e9crit depuis un canal l\u00e9g\u00e8rement diff\u00e9rent doit aussi alerter. En cas de doute, v\u00e9rifiez par un autre moyen avant d’agir.<\/p>

Qu’est-ce que la technique ClickFix ?<\/h3>

ClickFix est une m\u00e9thode qui affiche une fausse erreur (CAPTCHA, probl\u00e8me audio, v\u00e9rification) pour pousser la victime \u00e0 copier-coller elle-m\u00eame une commande dans le Terminal, PowerShell ou la fen\u00eatre Ex\u00e9cuter. L’utilisateur installe ainsi son propre logiciel malveillant. La technique contourne les filtres de liens et fonctionne sous Windows comme sous macOS.<\/p>

Pourquoi la Cor\u00e9e du Nord cible-t-elle autant la crypto ?<\/h3>

Parce que les crypto-actifs sont tr\u00e8s liquides, transf\u00e9rables en continu et difficilement r\u00e9versibles, ce qui en fait une source de financement pour le r\u00e9gime. Selon Chainalysis, les op\u00e9rateurs nord-cor\u00e9ens ont d\u00e9rob\u00e9 un record de 2,02 milliards de dollars en 2025, en privil\u00e9giant les vols gros et cibl\u00e9s sur les dirigeants et les plateformes plut\u00f4t que l’hame\u00e7onnage de masse.<\/p>