Des comptes Google Workspace ont été détournés pour des campagnes de scam

Des cybercriminels exploitent des comptes Google Workspace piratés pour envoyer des emails de phishing depuis des domaines légitimes, une méthode qui complique la détection des messages frauduleux.

Le service de Threat Intelligence de Spamhaus a repéré une campagne de phishing s'appuyant sur des comptes Google Workspace compromis pour diffuser des emails frauduleux. Plus de 450 domaines ont été recensés à ce jour, principalement dans le secteur de l'éducation.

Un vecteur de confiance détourné par les attaquants

Spamhaus a observé qu'un même domaine cible revenait dans plusieurs campagnes de spam distinctes, envoyées depuis des comptes Google Workspace piratés. Un exemple diffusé par le service montre un email envoyé le 11 août dernier depuis l'adresse micon@um-surabaya.ac.id, une université indonésienne, usurpant l'identité du NHS britannique. Si cela n'a l'air de rien, la technique met quand même bien à mal les filtres antispam puisque le domaine de l'expéditeur est authentique, avec un historique et une réputation bien établis.

Spamhaus explique que les spammeurs ont fait évoluer leurs campagnes. pour déployer des liens frauduleux. Pendant longtemps, les emails redirigeaient d'abord tous vers un même nom de domaine. Il était donc facile de le repérer puis de le bloquer. Les hackeurs insèrent désormais directement l'adresse IP du serveur dans leur nom d'hôte. Sans nom de domaine à bloquer, ce type de lien échappe plus facilement aux listes de blocage classiques. Par ailleurs, d'autres liens transitent par des services de redirection dont la destination change d'une adresse IP à une autre. En pratique, bloquer une adresse ne suffit alors plus puisque le lien va continuer de fonctionner ailleurs. Les attaquants utilisent aussi Google Drawings, l'outil de dessin en ligne de Google, comme intermédiaire. Le document contient une image et un lien vers la page cible. Là encore, cela permet de contourner les filtres qui se basent sur la réputation du domaine plutôt que sur le contenu du lien.

Ce n'est pas la première fois que des comptes Google Workspace professionnels sont visés spécifiquement. Nous rapportions en juin dernier une vague d'attaques ciblant ces comptes cloud via de faux portails de recrutement liés à la Coupe du monde 2026. Il faut dire que ce type de compte piraté donne d'emblée au hacker un accès à un carnet d'adresses, un historique de conversations et une légitimité immédiate auprès des destinataires.

Spamhaus indique avoir contacté Google et travailler à recenser les domaines compromis identifiés. Le service invite les organisations ayant observé une activité similaire à transmettre les domaines suspects via son portail ThreatIntel. Pour les administrateurs, les recommandations restent classiques :

• Authentification à plusieurs facteurs sur l'ensemble des comptes.
• Suppression des méthodes d'accès obsolètes.
• Vérification des règles de transfert et des applications tierces autorisées.
• Vérification systématique en cas de connexion depuis un lieu inattendu.