L’appel téléphonique derrière les plus grosses fuites de 2026

Plusieurs des plus importants vols de données de la dernière année n’ont pas commencé par du code ingénieux. Ils ont commencé par un appel. Quelqu’un téléphone à un employé, se présente comme le service informatique et le guide pour « mettre à jour ses paramètres de sécurité ». Quelques minutes plus tard, l’appelant a la connexion de cet employé et, par elle, les fiches clients de l’entreprise.

Comment se déroulent les appels

En janvier 2026, l’équipe Mandiant de Google a décrit une vague de ces attaques, qu’elle associe à des groupes utilisant le nom ShinyHunters. Les appelants :

1. se font passer pour le personnel informatique et disent que l’entreprise met à jour l’authentification multifacteur
2. envoient l’employé vers une page de connexion imitée de façon convaincante, aux couleurs de l’entreprise, à une adresse formée du nom de l’entreprise et de mots comme « sso » ou « internal »
3. captent le mot de passe et le code à usage unique au moment où l’employé les tape
4. enregistrent leur propre appareil pour l’authentification multifacteur, afin de garder l’accès ensuite

À partir de là, ils se servent dans tout ce que cette connexion permet d’atteindre, souvent plusieurs services infonuagiques à la fois : Salesforce, SharePoint, OneDrive, Slack, outils de signature de documents. Dans un cas, Mandiant a vu les attaquants supprimer le courriel « nouvelle méthode de sécurité enregistrée » pour que l’employé ne remarque rien. Suivent les courriels d’extorsion, généralement avec un délai de 72 heures.

Mandiant est clair : ce n’est « pas le résultat d’une vulnérabilité dans les produits des fournisseurs ». C’est de l’ingénierie sociale, et ça fonctionne.

Une deuxième porte : les applications connectées

Microsoft a publié en juillet 2026 un rapport sur une approche voisine observée de la mi-2025 à la mi-2026. Des appelants ont convaincu des employés d’autoriser une application malveillante, déguisée en outil de données Salesforce légitime, qui a ensuite extrait des fiches clients par des canaux approuvés. Les attaquants ont aussi volé les clés d’accès d’outils tiers branchés sur Salesforce, si bien que le vol ressemblait à du trafic d’intégration normal.

Pourquoi ça vous touche

Vous n’avez pas reçu l’appel, mais vos données se trouvaient dans les systèmes derrière : fiches clients, demandes de soutien, détails de rendez-vous. Quelques exemples de 2026 :

• McKesson, le distributeur de produits de santé, a déclaré une atteinte après que ShinyHunters a affirmé avoir volé des dossiers liés à des patients. Le groupe a dit à BleepingComputer être entré par hameçonnage vocal auprès d’employés, en prenant le contrôle de leurs comptes d’authentification unique Okta. Ce sont les affirmations du groupe; BleepingComputer précise que son nombre de dossiers ne correspond pas à autant de patients touchés.
• Canvas d’Instructure, utilisé par des universités partout au Canada, a été piraté autrement, par une faille de ses comptes gratuits pour enseignants, par le même groupe d’extorsion. Nous avons expliqué ce que les utilisateurs de Canvas doivent savoir.

La méthode n’est pas confirmée pour chaque fuite de cette vague, et nous ne ferons pas de suppositions. Le schéma est assez clair : le maillon faible était une personne pressée au téléphone.

Ce qui l’arrête vraiment

Pour les entreprises, la réponse que pointe Mandiant est une connexion résistante à l’hameçonnage : des clés de sécurité FIDO2 ou des clés d’accès, qui « résistent à l’ingénierie sociale d’une façon que l’authentification par notification ou par texto ne permet pas ». Une clé d’accès ne fonctionne que sur le vrai site; il n’y a donc rien à soutirer pour un appelant.

Pour vous, la même idée aide à la maison :

• Utilisez les clés d’accès sur les comptes qui les offrent. Une page frauduleuse ne peut pas s’en servir.
• Ne lisez jamais un code à quelqu’un qui vous a appelé. Ni au « soutien informatique », ni à votre banque, ni à nous. Raccrochez et rappelez à un numéro que vous trouvez vous-même.
• Attendez-vous à la suite. Après une fuite, les détails volés servent à rendre les appels et courriels frauduleux plus crédibles. Un appelant qui connaît votre nom, votre adresse et votre dernière commande ne prouve rien.

Sources

• Google Cloud / Mandiant, Tracking the Expansion of ShinyHunters-Branded SaaS Data Theft (en anglais), 30 janvier 2026
• Microsoft Security, Defending SaaS-based applications against ShinyHunters OAuth abuse (en anglais), 13 juillet 2026
• BleepingComputer, McKesson discloses breach after ShinyHunters claims patient data theft (en anglais)
• BleepingComputer, Instructure reaches “agreement” with ShinyHunters to stop data leak (en anglais)