Le phishing, cette arnaque qui consiste à vous attirer sur une fausse page de connexion pour vous voler vos identifiants, n'est plus l'affaire de bricoleurs isolés. C'est devenu une industrie, avec ses fournisseurs et ses clients. Les polices allemande et américaine viennent d'en démanteler un acteur majeur.
Un « phishing clé en main »
Baptisée Kratos, la plateforme fonctionnait comme un service à louer, selon le compte rendu de Clubic. Concrètement, elle fournissait à des escrocs tout le nécessaire pour prendre le contrôle de comptes Microsoft à grande échelle : de fausses pages de connexion, prêtes à l'emploi, imitant l'authentique, pour récupérer adresses e-mail, mots de passe et jusqu'aux cookies de session, ces fichiers qui permettent de rester connecté sans ressaisir son mot de passe.
C'est ce dernier point qui rend ce type d'outil redoutable : en volant un cookie de session valide, un attaquant peut parfois contourner même la double authentification, la fameuse validation par code reçu sur le téléphone.
Une machine à voler à l'échelle industrielle
Les chiffres, tels que rapportés par les enquêteurs, disent l'ampleur de l'entreprise. Plus de 1 800 clients criminels louaient les services de Kratos, qui aurait permis de lancer jusqu'à 15 000 campagnes de phishing par mois.
L'opération de démantèlement, baptisée Olympus Blade et annoncée le 22 juillet, a été menée par le parquet de Francfort et la police criminelle fédérale allemande (BKA), en lien avec les autorités américaines. Plus de 200 serveurs ont été neutralisés. Le développeur et administrateur technique de la plateforme a été interpellé en Indonésie.
Le nombre de victimes est encore partiel : environ 850 personnes formellement identifiées dans 35 pays, mais le total réel, depuis 2024, se compterait en centaines de milliers. Ces derniers chiffres sont des estimations et pourront évoluer avec l'enquête ; nous les donnons comme tels.
Ce que ce démantèlement change, et ne change pas
Une bonne nouvelle et une mise en garde.
La bonne nouvelle : couper une plateforme de cette taille assèche momentanément une part de l'offre criminelle et complique la vie de milliers d'escrocs. C'est un vrai coup porté.
La mise en garde : ce modèle du « crime en tant que service » est désormais bien installé. D'autres plateformes existent, et de nouvelles apparaîtront. La chute de Kratos ne fait pas disparaître le phishing ; elle en retire un fournisseur parmi d'autres.
Comment ne pas se faire piéger
Puisque l'outil visait vos comptes, quelques réflexes valent tous les démantèlements.
Méfiez-vous des liens dans les e-mails et les SMS. La règle de base du phishing : ne cliquez pas sur le lien d'un message qui vous demande de vous connecter en urgence. Rendez-vous sur le site officiel en tapant vous-même son adresse, ou via votre application.
Vérifiez l'adresse de la page avant de saisir un mot de passe. Une fausse page de connexion peut être visuellement parfaite ; c'est l'adresse dans la barre du navigateur qui trahit souvent la supercherie.
Activez la double authentification, malgré ses limites. Elle n'est pas infaillible, comme le montre le vol de cookies de session, mais elle bloque l'immense majorité des tentatives.
Utilisez des mots de passe différents pour chaque service. Ainsi, un compte compromis n'ouvre pas la porte à tous les autres. Un gestionnaire de mots de passe rend cette hygiène facile.
En cas de doute après avoir cliqué, changez immédiatement le mot de passe concerné depuis le site officiel, et déconnectez les sessions actives dans les paramètres de sécurité de votre compte.
Le démantèlement de Kratos est une victoire des enquêteurs. Votre meilleure protection, elle, reste ce réflexe simple : ne jamais saisir ses identifiants sur une page atteinte via un lien reçu.
