Comment le kit de phishing Logokit est devenu une usine d’arnaques basée sur le cloud

La célèbre plateforme de phishing-as-a-service (PhaaS) est passée, en un an à peine, d’un simple kit de pêche à la ligne à une véritable fabrique d’arnaques sur mesure. Les cybercriminels disposent désormais de services web légitimes pour reproduire intégralement l’environnement de connexion de leurs victimes. Explications et décryptage d’une redoutable pêche à la ligne.

Les experts en cybersécurité de Barracuda ont découvert que la plateforme de phishing Logokit ne se contente plus de rediriger toutes les cibles vers une même fausse page de connexion, mais utilise des services web commerciaux légitimes pour reproduire instantanément l’expérience de connexion de la victime au sein de son entreprise.

Les identifiants dérobés sont ensuite exfiltrés via Telegram et d’autres services cloud. Ces techniques rendent les attaques de phishing plus convaincantes et plus difficiles à détecter.

Mécanisme d’une attaque qui n’imite plus la marque mais son environnement global

Une attaque classique débute lorsque la victime clique sur un lien de phishing dans lequel son adresse e-mail est intégrée à l’URL. Le code incorporé dans la page de phishing extrait cette adresse e-mail et utilise le nom de domaine, par exemple company.com, pour identifier l’organisation de la victime et adapter la page de phishing en conséquence.

 Le kit utilise des services web commerciaux pour récupérer les logos d’entreprise et les favicons, et pour réaliser en temps réel une capture d’écran du site web légitime de l’entreprise de la victime. Il en résulte une page de phishing dont l’apparence est très proche de l’expérience de connexion à laquelle la victime est habituée. Les identifiants saisis sont envoyés directement à un bot Telegram, ce qui rend inutile toute infrastructure back-end traditionnelle gérée par l’attaquant. La victime est ensuite redirigée vers le véritable site web, ce qui complique la détection et l’analyse de la compromission.

Les chercheurs de Barracuda indiquent que les attaques de phishing de Logokit peuvent être menées en plusieurs langues (anglais, en allemand, en français, en espagnol, en chinois et en coréen).

 Malgré cette innovation technique, les campagnes Logokit continuent également de recourir à des techniques d’ingénierie sociale bien connues, notamment des notifications d’expiration de mots de passe, des avertissements concernant le renouvellement de certificats de sécurité, des restrictions de compte, des échecs de livraison et des notifications relatives aux feuilles de temps.

 « Logokit est passé de l’imitation de marques à celle d’environnements en temps réel, tout en permettant aux cyberattaquants d’opérer avec moins d’infrastructure. Tout cela rend ces attaques plus convaincantes et plus difficiles à détecter », explique Sachin Meti, Threat Analysis Associate chez Barracuda. 

« Alors que les cyberattaquants adoptent de plus en plus les outils et les méthodes de développement logiciel modernes, les organisations ont besoin de mesures de cybersécurité capables de détecter et de bloquer les attaques, même lorsqu’une page frauduleuse semble légitime. »

 Un conseil : revoyez votre approche de cybersécurité à plusieurs niveaux !

 Les conclusions montrent que les plateformes de phishing-as-a-service sont de plus en plus automatisées, personnalisées et dépendantes des services cloud. Pour s’en protéger, les chercheurs recommandent une approche de cybersécurité à plusieurs niveaux, combinant la détection automatisée des menaces avec une authentification multifactorielle (MFA) résistante au phishing, telle que les clés de sécurité FIDO2 et les passkeys, ainsi que des contrôles d’accès conditionnels ou basés sur les risques. Ces mesures permettent de limiter l’accès des cyberattaquants, même lorsque des identifiants ont été dérobés, en tenant compte de facteurs tels que le niveau de confiance de l’appareil, la localisation de l’utilisateur et les comportements observés.

 Les équipes de cybersécurité devraient également envisager d’ouvrir les liens suspects dans des environnements externes isolés avant qu’ils n’atteignent les appareils des utilisateurs. Elles devraient en outre analyser automatiquement toutes les URL afin d’y détecter d’éventuelles menaces. Si les formations de sensibilisation à la cybersécurité restent importantes, le caractère toujours plus convaincant des attaques de phishing rend indispensables des technologies et des politiques de cybersécurité robustes.

 Plus d’infos techniques sur : https://blog.barracuda.com/2026/07/29/logokit-phishing-service-real-time-deception-platform