L'effondrement de 92 % de Tycoon2fa et la discrète montée du vishing via Teams

Conséquences de Tycoon2fa : mesurer l'effet durable de la perturbation

Le rapport sur les menaces par email du T2 2026 de Microsoft Threat Intelligence offre une rare étude de cas de perturbation à grande échelle. La suppression en mars de la plateforme d'hameçonnage en tant que service Tycoon2FA par la Digital Crimes Unit de Microsoft a réduit son volume mensuel d'une moyenne de 15,1 millions de messages au second semestre 2025 à seulement 1,2 million en juin. Soit une baisse totale de 92 % depuis le début de l'opération. À la fin du T2, Tycoon2FA fonctionnait à environ 8 % de son niveau de référence avant la perturbation, et aucun service unique n'avait émergé pour le remplacer à une échelle comparable.

La part de la plateforme dans les sites d'hameçonnage protégés par CAPTCHA est passée de 41 % en mars à 12 % en juin, contre un pic de 76 % en décembre 2025. Les campagnes de codes QR redirigeant vers des domaines Tycoon2FA sont passées de 20 % de ces attaques en mars à 14 % en juin. Plus de 40 % des nouveaux domaines Tycoon2FA observés utilisaient des enregistrements .RU tout au long du trimestre, reflétant un effort continu mais réduit pour trouver un hébergement de remplacement après avoir été chassés de l'infrastructure anti-analyse de Cloudflare.

Effets d'entraînement sur l'hameçonnage par codes QR et protégé par CAPTCHA

La suppression de Tycoon2FA a entraîné des baisses corrélées dans deux tactiques d'hameçonnage qu'elle dominait. L'hameçonnage par codes QR a culminé à 18,7 millions d'attaques en mars, le plus haut depuis au moins un an, puis a baissé pendant trois mois consécutifs pour clôturer juin à 8,3 millions d'attaques. L'hameçonnage protégé par CAPTCHA a chuté encore plus nettement, passant de près de 12 millions d'attaques en mars à 2,2 millions en juin, soit une baisse de 81 %.

Les méthodes de livraison ont alterné selon un schéma observé tout au long de l'année écoulée. Dans les attaques par codes QR, les pièces jointes PDF ont culminé à 79 % des charges utiles en avril, puis sont tombées à 58 % en juin, tandis que les fichiers DOC/DOCX sont passés de près de zéro à 40 %. Les codes QR intégrés dans les emails, qui avaient bondi en mars, ont effectivement disparu au T2. Dans les attaques protégées par CAPTCHA, les pièces jointes HTML ont diminué pour atteindre des parts à un chiffre, tandis que les URL intégrées dans les emails ont repris la première place en juin, tous les autres formats ayant chuté en volume brut. Aucun service unique n'a comblé le vide laissé par Tycoon2FA, et les opérateurs semblent alterner entre des formats alternatifs plutôt que d'en adopter un seul.

Les menaces via Teams comblent le vide

Le changement le plus frappant au T2 a été l'accélération de l'ingénierie sociale sur Microsoft Teams. Alors que les volumes d'hameçonnage par email ont globalement diminué, l'hameçonnage vocal via Teams a fortement augmenté. Les tentatives d'appels malveillants hebdomadaires moyennes ont augmenté de 31 % d'avril à mai, puis de 27 % supplémentaires jusqu'en juin, les deux dernières semaines de juin enregistrant les volumes hebdomadaires les plus élevés jamais observés. Depuis le début de 2026, les tentatives de vishing hebdomadaires ont augmenté d'environ 80 % et atteignent désormais près de dix fois le niveau de référence de mi-2025.

Les attaquants ont programmé ces appels pour un engagement maximal, avec l'activité la plus intense entre 14h00 et 20h00 UTC, du lundi au vendredi, et un trafic quasi nul le week-end. Les noms d'affichage sur les comptes d'hameçonnage Teams ont évolué, s'éloignant du branding évident du service informatique ; en juin, 52 % utilisaient des noms génériques plutôt que des étiquettes de service d'assistance. Le volume d'hameçonnage via Teams a également augmenté régulièrement, de 19 % de mars à avril et de 10 % supplémentaires jusqu'en juin. Contrairement aux emails, le trafic Teams contourne les passerelles de sécurité des emails et bénéficie de la légitimité perçue d'une conversation initiée par un collègue.

Anomalie BEC et l'épine dorsale de l'hameçonnage d'identifiants

Le compromise de messagerie professionnelle (BEC) a connu un mois anormal. En avril, les attaques BEC ont bondi à près de 9 millions, soit une augmentation de 121 % par rapport à mars et plus du double de tout mois précédent. Ce pic a été de courte durée. Le volume a chuté de 62 % en mai pour atteindre 3,4 millions, puis s'est stabilisé à 3,9 millions en juin, les deux chiffres étant cohérents avec la référence mensuelle de l'année précédente. La poussée d'avril semblait être due à un petit nombre de campagnes à fort volume plutôt qu'à une escalade fondamentale.

L'hameçonnage d'identifiants est resté l'objectif principal des charges utiles tout au long du T2, représentant 94 à 96 % de toutes les attaques basées sur des charges utiles chaque mois. Les pièces jointes HTML et PDF étaient les formats de livraison les plus courants, représentant ensemble environ 60 à 70 % des charges utiles. Une campagne BEC automatisée notable le 1er juin a touché plus de 67 000 utilisateurs dans 42 000 organisations en moins de trois heures, utilisant une génération de messages scriptée via l'API Amazon SES pour usurper l'identité de dirigeants et demander des rapports de vieillissement ou des détournements de paie. Les messages ont été envoyés depuis un domaine slovaque signé DKIM, ont passé les vérifications SPF et DKIM, et ont utilisé des boîtes aux lettres basées sur des rôles et des pixels de suivi d'ouverture pour prioriser les relances.

Une deuxième campagne, observée les 14 et 15 juin, a ciblé plus de 107 000 utilisateurs avec une chaîne en plusieurs étapes. Elle utilisait un fichier EML imbriqué déguisé en enregistrement d'archive Teams et une invitation de calendrier pour rediriger silencieusement les victimes via le point de terminaison OAuth de Microsoft, déposant finalement un fichier batch Windows qui installait un logiciel malveillant depuis un hôte distant. L'attaque passait par une infrastructure d'authentification légitime, rendant plus difficile pour les outils de détection de la classer comme malveillante.

Ce que les données du T2 nous disent

Le cas Tycoon2FA apporte la preuve que les suppressions coordonnées de plateformes peuvent produire des résultats durables lorsqu'elles sont associées à un suivi persistant. Mais la croissance rapide du vishing via Teams montre que la résilience de l'écosystème va au-delà de la recherche d'un nouveau fournisseur de kits d'hameçonnage. Les attaquants migrent vers des canaux où la confiance est intégrée au protocole et où les défenses traditionnelles des emails ne suivent pas.

Pour les défenseurs, le rapport renforce la nécessité de considérer les outils de collaboration comme des surfaces d'attaque principales. L'email reste le vecteur le plus important en volume brut, mais le taux de croissance des menaces via Teams suggère que la prochaine vague d'hameçonnage ressemblera davantage à un appel téléphonique qu'à un dossier de spam. La formation à la sensibilisation des utilisateurs devrait désormais couvrir l'ingénierie sociale vocale sur les plateformes de travail, et les politiques d'accès conditionnel devraient exiger une MFA résistante au hameçonnage pour les applications de collaboration.