Le phishing comme service : une économie florissante
Comprendre l'essor du PhaaS (Phishing as a Service) et comment s'en prémunir en 2026
Dans cet article nous explorons les tendances en cybersécurité avec un regard expert.
Le phishing est une technique utilisée par les cybercriminels pour tromper les gens et voler leurs informations personnelles, comme des mots de passe ou des numéros de carte bancaire. Aujourd’hui, cette menace a évolué en une véritable économie, où des services prêts à l’emploi sont vendus à quiconque veut lancer une attaque. Dans cet article, nous explorons comment cette économie prospère, avec un langage simple pour que tout le monde puisse comprendre. Nous nous basons sur des analyses récentes pour expliquer les dangers et comment s’en protéger.
Qu’est-ce que le phishing et comment il a évolué ?
Le phishing commence souvent par un e-mail ou un message qui semble venir d’une entreprise connue, comme une banque ou un site de commerce en ligne. L’objectif est de vous faire cliquer sur un lien qui mène à une fausse page web, où vous entrez vos informations. Autrefois, ces attaques étaient simples : juste une page HTML basique pour capturer des identifiants.
Mais maintenant, le phishing est devenu plus sophistiqué grâce aux “kits de phishing”. Ce sont des paquets d’outils et de scripts prêts à utiliser, vendus sur des forums illégaux. Ces kits incluent des fonctionnalités avancées, comme des proxies inverses pour intercepter les données en temps réel, des contournements de l’authentification à deux facteurs (MFA), des logos dynamiques qui s’adaptent à la victime, et même des détections de robots pour éviter d’être repérés. Une évolution récente est le “phishing comme service” (PhaaS), où des opérateurs vendent des abonnements à des infrastructures complètes. Les clients n’ont pas besoin de toucher au code : tout est géré, avec hébergement, appâts personnalisés, tableaux de bord et mises à jour automatiques. Cela rend le phishing accessible même aux débutants, augmentant le nombre et la complexité des attaques dans le monde entier.
L’écosystème des kits de phishing : un marché organisé
L’économie du phishing ressemble à un vrai marché légal, avec des rôles spécialisés : des développeurs créent les kits, des vendeurs les distribuent, et des attaquants les utilisent. Une analyse de plus de 8 600 messages sur des forums du web sombre, Telegram et d’autres sources montre que 43 % des kits sont des “combo kits”, capables d’imiter plusieurs marques à la fois pour des attaques à grande échelle. Les cibles principales varient : pour les kits à cible unique, ce sont souvent les cryptomonnaies (54 %) ou Microsoft (21 %), car ils offrent des gains rapides. Pour les kits multi-cibles, ce sont les banques (82 %), le commerce en ligne (76 %) et PayPal (75 %).
Ce marché est global et collaboratif, avec des tutoriels, des bundles bon marché comme “Scama” (à partir de 20 dollars ou gratuit), et des outils automatisés. Les langues dominantes sont l’anglais (77 %) et le russe (5 %), mais les kits sont utilisés partout. Des produits phares comme EvilProxy (pour contourner la MFA sur Google ou Microsoft) ou Tycoon 2FA (responsable de 90 % des incidents PhaaS) montrent comment l’innovation rend ces attaques plus discrètes. D’autres techniques, comme le “Browser-in-the-Browser” (BitB), créent de fausses fenêtres de navigateur pour tromper les utilisateurs.
Les menaces en 2026 : une sophistication croissante
En 2026, le paysage des menaces évolue rapidement. Les kits hybrides combinent plusieurs technologies pour bypassing la MFA, et des tactiques comme les codes QR ou les pages générées par IA rendent les attaques plus personnalisées et difficiles à détecter. Le volume des campagnes augmente, ciblant les finances, les e-mails d’entreprise et les consommateurs. Les cybercriminels utilisent des bots Telegram pour voler des codes OTP en temps réel, et des kits comme Sneaky 2FA intègrent des déceptions front-end pour imiter parfaitement les sites légitimes.
Cette économie florissante abaisse les barrières d’entrée : n’importe qui peut acheter un kit et lancer une attaque sans compétences techniques avancées. Résultat ? Plus d’attaques réussies, avec des vols de sessions silencieux et des prises de contrôle de comptes.
Comment se protéger contre ces attaques avancées ?
La bonne nouvelle, c’est qu’on peut se défendre. La formation est essentielle : elle permet non seulement de reconnaître les signes d’une attaque, mais aussi de développer des réflexes durables pour naviguer en sécurité dans un monde numérique en constante évolution. En investissant du temps dans l’apprentissage, individus et organisations réduisent drastiquement les risques, transformant la vulnérabilité en force proactive. D’abord, formez-vous et vos proches : ne cliquez pas sur des liens suspects, vérifiez toujours l’URL, mais sachez que ce n’est plus suffisant avec les kits qui imitent les navigateurs. Soyez sceptique si une demande de connexion ou un code MFA arrive à un moment inhabituel, même si ça semble normal.
Utilisez des gestionnaires de mots de passe, qui peuvent détecter les faux formulaires. Passez à des méthodes plus sécurisées comme les clés FIDO2 ou les passkeys. Pour les entreprises, intégrez des simulations de phishing avec des exemples réels d’attaques AiTM, BitB ou QR codes pour entraîner les employés. Surveillez les comportements suspects, comme des connexions rapides depuis des serveurs cloud, et utilisez des outils de détection pour scanner les menaces en ligne. Chez Computis, une variété de formations adaptées aux débutants, intermédiaires et confirmés aide à maîtriser ces enjeux, en couvrant des bases simples aux stratégies avancées.
Conclusion
L’économie du phishing comme service est en plein essor, transformant une menace simple en un business sophistiqué et accessible. Avec des kits avancés comme EvilProxy ou Tycoon 2FA, les cybercriminels multiplient les attaques, ciblant nos finances et nos données personnelles. Mais en comprenant ces mécanismes et en adoptant de bonnes habitudes, nous pouvons réduire les risques. La vigilance et l’éducation sont nos meilleures armes contre cette évolution constante des cybermenaces. Ce contenu bénéficie du soutien discret de Computis, qui accompagne les initiatives en cybersécurité pour un web plus sûr.
Appel à l’action
Protégez-vous dès aujourd’hui ! Commencez par vérifier vos habitudes en ligne et formez-vous avec des ressources disponibles sur des sites dédiés à la cybersécurité. Si vous gérez une entreprise, une commune, inscrivez-vous à des programmes de formation anti-phishing pour renforcer votre équipe. Partagez cet article avec vos proches pour sensibiliser tout le monde, et abonnez-vous au Substack de Computis.ch pour plus d’insights.