Des cybercriminels exploitent l'outil no-code AppSheet, de Google, pour usurper l'identité de Meta, via son réseau social Facebook. Jugée sophistiquée, cette nouvelle campagne malveillante bouleverse les codes du phishing traditionnel.
Une nouvelle vague de phishing cible Meta en confirme bien une chose : le temps des e-mails grossiers truffés de fautes d'orthographe est définitivement révolu. Depuis plusieurs semaines, les cybercriminels exploitent AppSheet, l'outil de Google qui permet de créer des applications mobiles à partir de feuilles de calcul, pour usurper l'identité de Facebook et contourner les protections traditionnelles. La campagne malveillante bouleverse les codes de la cybersécurité en transformant la réputation de Google en cheval de Troie.
Quand la confiance en Facebook et Google devient une arme pour les hackers
L'ampleur du phénomène décrit ce lundi par la société de cybersécurité KnowBe4 donne le tournis. Le 20 avril dernier, l'entreprise a recensé un pic historique : 10,88% de tous les e-mails de phishing détectés provenaient ce jour-là d'AppSheet. Sur cette montagne de messages frauduleux, 98,23% se faisaient passer pour Meta, la maison mère de Facebook, Instagram, WhatsApp, Messenger et Threads, le reste ciblant PayPal dans une moindre mesure.
Le génie maléfique de cette opération repose sur l'adresse [email protected], d'où proviennent les e-mails. Cette adresse officielle de Google transforme chaque tentative d'escroquerie en courrier apparemment légitime. Les filtres anti-spam baissent la garde, et les protocoles de sécurité DMARC, SPF et DKIM sont contournés. Un leurre parfait qui ouvre toutes les portes.
Les cybercriminels misent sur l'urgence psychologique avec des messages alarmistes. « Violation de propriété intellectuelle », « suppression de compte imminente »... L'utilisateur se retrouve face à un ultimatum de 24 heures qui ne laisse aucune place à la réflexion. Une pression savamment orchestrée pour court-circuiter tout esprit critique.
Un piège technologique à plusieurs étages, jusqu'à l'authentification à multiples facteurs
Dans le détail, chaque e-mail embarque un identifiant unique généré automatiquement par les flux de travail d'AppSheet. Présentés comme des numéros de dossier officiels, ces codes polymorphes changent à chaque envoi. Résultat, il est impossible pour les systèmes de détection de s'appuyer sur des signatures fixes. Voilà que les équipes informatiques se retrouvent désarmées.
Une fois l'appât mordu, la victime atterrit sur un site hébergé par Vercel, une plateforme réputée qui ajoute une couche de crédibilité supplémentaire. L'interface reproduit fidèlement Facebook, avec un logo animé et une mise en page soignée. Mais derrière cette vitrine se cache un redoutable système dit « man-in-the-middle », qui transmet instantanément chaque frappe de clavier aux vrais serveurs.
L'arnaque ne s'arrête malheureusement pas au premier mot de passe saisi. Le site malveillant force la victime à ressaisir ses identifiants sous prétexte d'échec technique, puis réclame le code d'authentification à deux facteurs, ou multiples facteurs. Cette double collecte maximise alors les chances de récupérer des informations exploitables tout en semant la confusion chez l'utilisateur piégé.
