Les cybercriminels misent de plus en plus sur les initiés plutôt que sur le piratage

Dans le cadre du rapport intitulé « The Market for Trust : How Cybercriminals Recruit Corporate Insiders », les chercheurs de TrendAI Mayra Rosario Fuentes, Stephen Hilt et David Sancho ont étudié l'organisation du marché noir des accès privilégiés. Leur conclusion : ce qui n'était au départ que des cas isolés s'est transformé en une activité à part entière, fondée sur la division du travail, avec des prix fixes, des participations aux bénéfices, des commissions d'intermédiation et des partenariats à long terme qui rappellent davantage un secteur d'activité classique que la cybercriminalité traditionnelle.

« Aujourd’hui, le moyen le plus simple de s’introduire dans une entreprise ne passe plus nécessairement par une faille de sécurité : souvent, un simple employé suffit. Dans le milieu clandestin de la cybercriminalité, les accès privilégiés sont de plus en plus négociés comme une marchandise : les criminels recrutent de manière ciblée des initiés capables de contourner les mesures de sécurité simplement grâce à leur travail quotidien. Se protéger contre les menaces internes, c’est aujourd’hui aussi prendre conscience que ses propres collaborateurs sont eux-mêmes devenus des cibles d’attaque », explique David Sancho, chercheur senior en menaces chez TrendAI, la division de cybersécurité d’entreprise de Trend Micro.

Aperçu des principales conclusions

• Le recrutement par le bouche-à-oreille est aujourd'hui un secteur économique à part entière. Sur les forums clandestins et les chaînes Telegram, les courtiers, les services fiduciaires et les partenaires commerciaux réguliers opèrent désormais aussi ouvertement que dans un secteur traditionnel.
• Ce ne sont pas les droits des utilisateurs qui comptent le plus, mais le pouvoir de décision le plus important. Les criminels recherchent spécifiquement des collaborateurs capables d'autoriser des paiements, de réactiver des comptes ou de contourner les contrôles anti-fraude – des actions qu'un attaquant externe ne pourrait jamais reproduire de manière crédible.
• Les services réservés aux initiés deviennent des produits de grande consommation. Qu'il s'agisse de débloquer des comptes sur les réseaux sociaux, de falsifier le suivi d'un colis ou d'obtenir des réductions frauduleuses : pour toutes ces prestations, il existe désormais des tarifs fixes, des délais d'exécution garantis et même des programmes destinés aux revendeurs.
• Le secteur de l'IA est dans le collimateur. Plus les entreprises spécialisées dans l'IA accumulent de données de modélisation précieuses, de matériel d'entraînement et d'accès privilégiés, plus leurs collaborateurs deviennent une cible attractive pour les criminels.

« Pendant longtemps, lorsque l'on parlait de menaces internes, on pensait surtout à des employés frustrés ou à des erreurs humaines. Ce que nous observons aujourd’hui est quelque chose de fondamentalement différent : des criminels recrutent de manière ciblée des employés dignes de confiance via des marchés clandestins organisés et transforment les accès internes en un service qui peut être acheté et vendu », explique Mayra Rosario Fuentes, chercheuse senior en menaces chez TrendAI.

Ce rapport analyse ce phénomène dans tous les secteurs : des administrations publiques, de la santé, des réseaux sociaux, des télécommunications et de la finance à l'industrie et à l'énergie, en passant par la logistique, le commerce de détail et les plateformes d'évaluation.

Trois secteurs particulièrement mis en avant

Trois secteurs illustrent particulièrement bien à quel point la professionnalisation est déjà avancée : les télécommunications, les réseaux sociaux et la finance. Le rapport y présente les exemples concrets les plus significatifs, étayés par des chiffres fiables, allant parfois jusqu'à des poursuites pénales.

• Télécommunications : le « SIM swap », une activité très lucrative : Un employé corrompu peut contourner l'authentification à deux facteurs par SMS grâce à une substitution de carte SIM, ouvrant ainsi la voie aux pirates pour accéder aux comptes bancaires et aux comptes de cryptomonnaies. Sur le marché noir, cette opération coûte jusqu’à 20 000 dollars US chez Verizon, T-Mobile ou AT&T, auxquels s’ajoute une commission de 20 %. Une affaire survenue aux États-Unis montre que les autorités judiciaires ont déjà réagi : en novembre 2025, le parquet de Manhattan a inculpé un réseau spécialisé dans le « SIM-swapping » qui, avec la complicité d’employés corrompus d’AT&T et de T-Mobile, aurait dérobé environ 435 000 dollars américains à quatre victimes.
• Réseaux sociaux : comptes bloqués, débloqués contre paiement en espèces : Des initiés réactivent des comptes suspendus sur Meta, TikTok ou X pour des sommes allant de 1 000 à plus de 7 000 dollars américains, ou autorisent la publication de publicités frauduleuses. Chez Meta, l’utilisation abusive de l’outil interne « Oops » par des collaborateurs corrompus a entraîné, fin 2022, le licenciement ou d’autres sanctions disciplinaires à l’encontre de plus d’une vingtaine d’employés et de prestataires. Meta a alors poursuivi les intermédiaires présumés devant un tribunal canadien en 2023.
• Finance : code d'accès au compte bancaire : Sur un forum clandestin, un vendeur proposait un accès privilégié, valable trois ans, à la comptabilité d'une entreprise dont le chiffre d'affaires annuel s'élève à 25 millions de dollars américains, pour une mise à prix de 25 000 dollars américains. Pour la mise en relation avec un seul employé corrompu travaillant pour des plateformes de cryptomonnaies telles que Binance ou Robinhood, les donneurs d'ordre versaient jusqu'à 5 000 dollars de prime ou, à défaut, 15 % des recettes.

Source : TrendAI

Cet article est paru initialement sur m-q.ch - https://www.m-q.ch/de/cyberkriminelle-setzen-zunehmend-auf-insider-statt-auf-hacking/