Le 4 septembre 2026, le KnowBe4 Threat Lab a détaillé une campagne de phishing active qui fait passer ses victimes par plusieurs services Google avant de les rediriger vers un site de collecte d’identifiants ou vers l’installation d’un outil d’accès distant. Le domaine affiché au départ peut donc sembler familier alors que la destination finale est contrôlée par l’attaquant.
L’enjeu dépasse le simple clic sur un mauvais domaine : la chaîne est conçue pour tromper les filtres, personnaliser la page avec l’organisation ciblée et choisir entre vol de secrets et accès persistant à la machine.
Ce que la campagne met en évidence
KnowBe4 décrit une campagne qui utilise plusieurs propriétés Google comme relais, notamment Google Meet, la recherche, Custom Search, Google Images, Tag Manager et Analytics. Selon l’analyse publiée, ces services sont utilisés seuls ou en séquence pour que les contrôles successifs rencontrent des domaines réputés avant la sortie vers l’infrastructure de l’attaquant.
Dark Reading rapporte le même mécanisme de redirections multi-étapes : la réputation du premier domaine ne suffit donc plus à qualifier le lien. La campagne observée n’est pas une preuve que chaque redirection Google est malveillante ; elle montre que la confiance accordée à un domaine doit être complétée par l’examen de son comportement.
Pourquoi les filtres peuvent être contournés
Dans le scénario documenté, l’adresse finale n’apparaît qu’après plusieurs paramètres de redirection. Le fragment placé après # joue un rôle particulier : les navigateurs ne l’envoient généralement pas au serveur, mais le JavaScript de la page peut le lire. KnowBe4 indique que l’adresse de la victime y est encodée, ce qui masque la personnalisation aux journaux et à certains analyseurs d’URL.
La page finale peut ensuite vérifier le domaine de messagerie, afficher le logo et une capture du site de l’organisation, puis adapter son contenu. Une analyse limitée au domaine du message, au premier lien ou à un seul saut peut donc conclure à tort que le parcours est propre.
Deux issues possibles après la redirection
Le premier parcours mène à une fausse interface Microsoft ou OneDrive destinée à récupérer des identifiants, et certaines variantes tentent aussi d’intercepter un code d’appairage d’appareil. L’interface peut afficher une erreur au premier envoi puis demander une seconde saisie : une MFA ou un mot de passe saisi dans cette page reste une donnée volée, même si l’utilisateur ne voit ensuite aucune anomalie.
Le second parcours installe ScreenConnect sous couvert d’une vérification d’identité. KnowBe4 présente ScreenConnect comme un outil RMM légitime détourné dans ce contexte ; une session distante déjà établie sur le poste ne disparaît pas nécessairement lorsqu’un mot de passe est changé. Cette bifurcation rend la détection de l’exécution et des connexions sortantes aussi importante que la rotation des secrets.
Les réflexes pour les utilisateurs
Ne validez pas un lien parce qu’il commence par google.com ou par un autre domaine connu. Ouvrez le site attendu depuis un favori ou une adresse saisie manuellement, surtout pour une expiration de compte, une facture, un document partagé ou une « vérification d’identité ».
Après un clic, arrêtez-vous avant tout formulaire. Signalez le message, notez l’heure et prévenez l’équipe informatique. Si un mot de passe a été saisi, changez-le depuis un appareil sain partout où il était réutilisé ; si un code ou une session a pu être exposé, révoquez les sessions et jetons côté service. Ne téléchargez ni n’exécutez un outil demandé par une page inattendue.
Les contrôles à mettre en place
Les équipes doivent analyser les redirections jusqu’à la destination finale, journaliser les paramètres suspects et surveiller les chemins inhabituels dans le DNS, le proxy et le SIEM. Les fragments d’URL contenant une adresse ou un identifiant peuvent servir de signal, sans constituer à eux seuls une preuve.
L’inventaire RMM doit distinguer les installations ScreenConnect ou équivalentes approuvées des exécutions portables, temporaires ou lancées hors des procédures d’administration. La CISA recommande de contrôler les outils d’accès distant, leurs comptes, leurs journaux et leurs flux réseau. En parallèle, la MFA doit être activée en priorité sur la messagerie, les accès distants et les comptes privilégiés ; une clé de sécurité ou une autre MFA résistante au phishing réduit le risque de réutilisation d’un mot de passe volé.
Le lien avec Soclyde
Soclyde ne bloque pas une redirection malveillante et ne remplace ni le filtrage de messagerie ni la supervision des postes. Son rôle est plus précis : aider à générer un secret unique pour chaque service, le conserver dans un coffre chiffré local-first et rendre la rotation praticable lorsqu’un utilisateur a saisi un mot de passe sur une page douteuse.
Cette séparation limite le rebond vers d’autres comptes. Elle ne protège toutefois pas un appareil compromis et ne révoque pas une session distante : après un clic suspect, les contrôles du poste, des sessions et des outils RMM restent prioritaires.
À retenir
La campagne décrite en septembre 2026 montre qu’un lien peut traverser plusieurs services légitimes avant d’atteindre un faux formulaire ou un outil d’accès distant. La réputation du domaine de départ n’est donc qu’un indice ; la chaîne complète, la destination finale et le comportement du poste doivent être vérifiés.
Pour les utilisateurs, le bon réflexe est de ne rien saisir sur une page inattendue, puis de révoquer les accès potentiellement exposés. Pour les organisations, les priorités sont la visibilité DNS/proxy, la MFA résistante au phishing et l’inventaire des RMM. Pour réduire la réutilisation des secrets, consultez le guide du générateur de mots de passe sécurisé ou contactez Soclyde.
