Une vaste campagne de phishing à l’encontre du Crédit Agricole vient d’être découverte. Identifiée par l’équipe de recherche de Cybernews, l’offensive consistait à usurper l’identité de la banque française, qui cumule plus de 53 millions de clients en France. Dans les détails, les chercheurs ont mis la main sur le serveur qui permettait aux pirates de piloter toute l’attaque. Toute l’infrastructure criminelle, allant du système de collecte de victimes jusqu’aux outils permettant d’envoyer des mails en grosses quantités, a été débusquée dans le courant du mois de juin.
Scammers competed to see who would earn more from their victims. Read more ⤵️https://t.co/2olh6k1uIJ pic.twitter.com/ozXPLDVdo7
— Cybernews (@Cybernews) August 5, 2026
Les chercheurs ont pu accéder au panneau de gestion utilisé par les cybercriminels. Avec cet accès, les experts ont pu s’emparer d’informations clés sur les coulisses de la cyberattaque, comme le nombre exact de victimes et les paiements effectués.
À lire aussi : L’Éducation nationale encore piratée – c’est déjà la troisième fuite de données de 2026
Une cyberattaque soigneusement préparée
En amont de la cyberattaque, les cybercriminels ont soigneusement préparé le terrain. Pour pouvoir diffuser 7 000 courriels par jour sans se faire bloquer par les filtres anti-spam des boîtes mail, les hackers se sont tournés vers des infrastructures d’entreprises tout à fait légitimes. Ils ont scanné une montagne de serveurs contenant des clés d’accès à des services d’envoi de mails, comme SendGrid ou Amazon Simple Email Service (AWS SES). Ces plateformes sont utilisées par des entreprises légitimes pour envoyer des factures, des notifications ou encore des réinitialisations de mot de passe.
Au terme de l’opération, les pirates ont identifié 470 000 adresses de serveurs, considérés comme des cibles potentielles. Dans ces serveurs, les attaquants ont déniché des fichiers de configuration mal protégés, accessibles publiquement. Avec ceux-ci, ils étaient désormais en mesure d’envoyer une foule de courriels de phishing à leurs cibles tout en passant sous le radar. Avant de prendre le contrôle, ils vérifiaient systématiquement les quotas d’envoi disponibles sur chacun des comptes volés, afin de prioriser ceux offrant la plus grande capacité d’expédition. Dès le départ, les pirates avaient l’intention de voir les choses en grand. Ce ne sont « pas des novices », estime CyberNews.
« Les organisations et entreprises françaises continuent de laisser des fichiers sensibles exposés dans des systèmes accessibles depuis internet, livrant involontairement aux pirates les outils nécessaires pour mener des campagnes de fraude », regrettent les chercheurs.
Les données bancaires de 912 victimes
Avec les comptes piratés en main, les cybercriminels se sont mis à bombarder les internautes de mails frauduleux. Comme prévu, les mails n’ont pas déclenché la moindre alerte. Les courriels prétendaient provenir directement du Crédit Agricole. Ils encourageaient les cibles à « renouveler l’enregistrement » d’un appareil de confiance. En cas de refus, la victime risquait de perdre l’accès à leurs comptes. Comme toujours, les cybercriminels cherchent à faire peur à leurs cibles pour les convaincre d’obéir sans poser trop de questions.
Le mail contient un faux formulaire de connexion, qui relaie les cibles vers un site de phishing. Celui-ci reprend les codes du site officiel du Crédit Agricole. Il est évidemment programmé pour s’emparer des identifiants bancaires et des mots de passe des utilisateurs. Selon les informations collectées par les chercheurs, 912 victimes ont saisi leurs identifiants bancaires dans ces formulaires.
À lire aussi : Hack de l’Éducation nationale – un syndicat dénonce un « manque d’information » et de « transparence »
Manipulation au téléphone
Les informations récupérées comprenaient aussi le solde du compte, l’agence bancaire et le nom du conseiller attitré. Ce sont des données précieuses pour mettre au point des attaques de phishing personnalisées. C’est d’ailleurs ce que les pirates se sont empressés de faire. Au lieu d’« exploiter les identifiants bancaires de façon trop évidente », les pirates ont utilisé ces informations pour orchestrer une campagne de manipulation par téléphone.
Pour les pirates, « la principale façon de gagner de l’argent étant d’appeler les victimes et d’utiliser des techniques d’ingénierie sociale pour les inciter à payer pour un faux service ». Rassurée par la montagne de données entre les mains de son interlocuteur, la victime avait tendance à accorder sa confiance et à verser de l’argent. Les investigations révèlent que les escrocs ont reçu 83 paiements de la part de leurs cibles.
« L’employé du mois »
En examinant le panneau de gestion de la cyberattaque, les chercheurs ont découvert un classement intégré. Celui-ci permettait aux différents truands de comparer leurs performances. Le pirate qui soutirait le plus d’argent à ses victimes pouvait gagner une prime de 3000 euros. L’escroc qui parvenait à battre ses complices devenait un peu « l’employé du mois ». Plus de sept criminels étaient impliqués dans l’opération.
Une fois l’infrastructure pirate identifiée, les chercheurs ont prévenu le Crédit Agricole qu’une opération de phishing visait actuellement ses clients. Le CERT-FR (French Computer Emergency Response Team), l’organisme gouvernemental rattaché à l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, a également été prévenu. Pour le moment, on ignore si l’infrastructure a été démantelée. La balle est dans le camp du CERT-FR et du Crédit Agricole, qui peuvent demander la désactivation des serveurs impliqués dans l’offensive.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
