En octobre 2026, Huntress a analysé un faux site de téléchargement du client WatchGuard Mobile VPN with SSL. La page demandait les accès VPN puis pouvait fournir le véritable installateur. Pour une petite entreprise, le piège est concret : une recherche destinée à réinstaller un outil professionnel peut exposer l’entrée du réseau.
Le cas concerne un administrateur travaillant chez un prestataire informatique. Il rappelle que vérifier un fichier téléchargé et vérifier l’origine d’une demande de mot de passe sont deux contrôles complémentaires.
Une recherche de téléchargement détournée
Le 7 octobre, l’enquête de Huntress remonte à une recherche Bing pour télécharger le client VPN. Le résultat conduisait à watchguard-vpn[.]net, un domaine imitant le fournisseur. Huntress décrit un détournement des résultats de recherche, sans établir qu’il s’agissait d’une publicité payante.
WatchGuard avait déjà documenté ce domaine dans une campagne en janvier. Cette antériorité donne du contexte, mais ne suffit pas à attribuer les différentes versions du site aux mêmes opérateurs.
Les accès sont demandés avant le logiciel
La page frauduleuse sollicitait l’adresse du serveur VPN, le nom d’utilisateur et le mot de passe. Son script rejetait une première saisie puis demandait de recommencer. Après la seconde, il prévoyait de récupérer un installateur authentique signé depuis l’infrastructure de distribution WatchGuard.
Dans le cas observé, Huntress n’a pas retrouvé ce téléchargement dans l’historique : le parcours décrit par le script ne doit donc pas être présenté comme intégralement accompli par l’administrateur. Une première saisie pouvait toutefois suffire à exposer des accès.
Pourquoi un installateur authentique ne rassure pas
Une signature logicielle aide à contrôler l’origine et l’intégrité d’un programme. Elle ne certifie pas les formulaires affichés auparavant sur un autre site. Ici, le risque porte sur le secret fourni dans le navigateur, même si le fichier finalement reçu est légitime.
Pour un prestataire IT, il faut aussi identifier à quelle organisation appartient le serveur VPN saisi. L’enjeu n’est pas seulement de nettoyer un poste : un compte de connexion distante peut ouvrir un chemin vers un réseau client. Cela ne prouve pas que ce chemin a été utilisé dans cet incident.
Si vous avez saisi vos accès VPN
Prévenez votre responsable informatique ou votre prestataire par un canal connu. Indiquez le compte utilisé, l’heure approximative et l’adresse de la page, sans recopier le mot de passe dans un ticket. Conservez les éléments utiles de l’historique pour l’analyse.
L’équipe IT doit remplacer le secret sur le système qui authentifie le VPN et examiner les connexions. Si le mot de passe était réutilisé, changez-le aussi sur les autres services. La présence du véritable client sur le poste ne permet pas de conclure que le compte est intact.
Pour les PME et leurs prestataires
Mettez à disposition un lien de téléchargement validé dans votre procédure d’installation, plutôt que de demander à chacun de retrouver le client via un moteur de recherche. Un collaborateur doit savoir qui appeler lorsqu’une page exige ses accès réseau avant un téléchargement.
Pour les administrateurs, séparez les comptes et les secrets entre organisations clientes. Vérifiez les possibilités d’authentification multifacteur et de journalisation de votre installation VPN. Ces mesures sont des recommandations de défense, pas des informations sur la configuration de la victime étudiée par Huntress.
Le lien avec Soclyde
Soclyde aide à conserver des mots de passe différents pour les accès professionnels dans un coffre chiffré sur les appareils. Dans le cas d’un prestataire IT, retrouver le bon accès sans réutiliser le même secret entre clients facilite une rotation ciblée si une saisie suspecte est signalée.
Le changement et la fermeture éventuelle des sessions restent à effectuer dans l’infrastructure VPN. Soclyde ne vérifie pas l’intégrité de cette infrastructure et ne peut pas annuler un secret transmis à un faux formulaire.
À retenir
Le piège WatchGuard vole les accès avant l’installation. Un téléchargement authentique ne rend pas légitime la page qui vous a demandé un mot de passe. Pour préparer des accès distincts et leur transmission dans une petite équipe, consultez notre guide sur le partage des mots de passe.
