CompteDumpling : le relais d'hameçonnage qui vole 30 000 comptes Facebook en utilisant AppSheet et des plateformes libres

Un nouveau rapport qui montre la sophistication de la fraude numérique contemporaine décrit une opération liée au Vietnam qui a exploité des services légitimes comme Google AppSheet pour monter ce que les chercheurs ont appelé un relais d'hameçonnage et mettre des comptes Facebook volés sur le marché. La campagne, surnommée AccountDumpling par l'entreprise qui a enquêté sur l'affaire, n'est pas un simple kit d'hameçonnage isolé: elle est une structure vivante avec des panneaux d'exploitation en temps réel, des développements constants et un cycle commercial criminel qui transforme l'accès aux comptes en une marchandise commerciale, selon des analyses publiées par des chercheurs qui ont donné la voix de l'alarme.

La mécanique de l'attaque combine l'ingénierie sociale et l'abus de plates-formes fiables: les emails qui semblent provenir du support de Meta, envoyé d'un expéditeur légitime d'AppSheet ("noreply @ appsheet.com") pour supprimer les filtres anti-spam, les victimes cibles (habituellement titulaires de compte ou entreprises Facebook) à de fausses pages hébergées dans des services tels que Netlify, Vercel ou Google Drive. Ces pages imitent les processus de vérification, la présentation de documents ou les examens de politiques et sont conçues pour saisir les références, les codes 2FA, les photographies d'identification et les métadonnées du navigateur. Certaines des informations recueillies finissent par être centralisées dans les canaux contrôlés par les attaquants dans Telegram, et les dossiers saisis pointent vers un 30 000 comptes engagés avec des victimes dans plusieurs pays.

Le tableau qui est dressé a des implications importantes pour les entreprises et les utilisateurs: en plus des dommages directs dus à la perte d'accès, au vol publicitaire et au remplacement, il y a un marché secondaire qui monétise la réputation des entreprises, l'identité des entreprises et les processus de récupération des comptes, ce qui encourage de nouvelles attaques. Il est également inquiétant que les acteurs malveillants utilisent systématiquement des fournisseurs publics libres ou facilement accessibles (AppSheet, Netlify, Vercel, Google Drive, Cova) pour livrer des contenus malveillants, en profitant de la confiance des filtres et des utilisateurs eux-mêmes sur ces plateformes.

Pour réduire le risque individuel et institutionnel, il y a des mesures concrètes qui devraient être appliquées immédiatement : ne pas répondre aux emails urgents demandant des informations ou suivant des liens à partir de messages non vérifiés ; toujours vérifier l'authenticité du canal de contact via la console Meta officielle ou le compte d'affaires sur Facebook ; activer des méthodes d'authentification plus robustes telles que clés physiques (FIDO2 / WebAuthn) ou des applications d'authentification au lieu de SMS; examiner et révoquer les sessions actives, les autorisations d'application et les accès de tiers à partir de la configuration du compte; et vérifier les rôles et les autorisations dans les administrateurs de pages et les comptes publicitaires. Sur le plan technique, les organisations devraient renforcer les politiques de courrier avec SPF, DKIM et DMARC, mettre en place des filtres avancés et former des équipes et des clients sur des leurres réguliers tels que les faux processus de vérification ou les prétendues offres d'emploi de grandes marques.

Outre les actions réactives, la coopération entre les fournisseurs de plates-formes, les entreprises de sécurité et les autorités pour détecter et démanteler les infrastructures qui servent de "couches" de fraude est essentielle. Les fournisseurs tels que AppSheet, Cova, Netlify ou Vercel sont confrontés au défi d'équilibrer disponibilité et abus : améliorer la détection des modèles utilisés dans l'hameçonnage, vérifier l'automatisation des PDF ou des pages malveillantes et accélérer la réponse aux rapports sont les étapes nécessaires pour couper le circuit commercial de l'escroquerie.

Si vous soupçonnez que votre compte Facebook a été compromis, n'utilisez que les canaux de récupération officiels fournis par Meta et documentez toute communication suspecte avant d'agir; conservez les captures et les courriels pour des recherches possibles. Afin d'approfondir le contexte et les constatations des chercheurs en sécurité, vous pouvez consulter des sources d'information et de sensibilisation telles que : Les nouvelles Hacker et ressources de formation en phishing et simulation d'attaques Connaître4 ainsi que la documentation officielle de Target sur la sécurité Facebook Aide aux entreprises. La leçon est claire : la sécurité n'est plus seulement technique, c'est aussi une bataille pour la confiance dans les plates-formes; le renforcement nécessite des mesures techniques, des processus et une formation continue.