Des hackers ont utilisé une plateforme financière légitime pour tester des identifiants bancaires volés sans payer les vérifications.
Dans un rapport publié le 20 oct., Group-IB décrit comment des criminels ont détourné un service de gestion des dépenses non nommé pour vérifier des identifiants volés et diffuser des messages d’hameçonnage.
Pour les équipes de sécurité, cette affaire met en évidence une faille de supervision : la liaison de comptes et les notifications clients peuvent faciliter la fraude avant que les contrôles transactionnels ne détectent le moindre mouvement de fonds.
La liaison de comptes exposait les soldes bancaires et l’historique des transactions
Les clients pouvaient connecter des comptes bancaires externes par l’intermédiaire d’un agrégateur d’open banking. Les connexions réussies renvoyaient les soldes des comptes et l’historique des transactions, permettant aux criminels de confirmer quels identifiants volés fonctionnaient et d’identifier les comptes contenant des fonds.
La liaison manuelle au moyen des numéros d’acheminement et de compte ne fournissait pas les mêmes informations. Les attaquants ont plutôt exploité la connexion fondée sur l’identifiant pour tester des identifiants sans lancer de paiement.
Group-IB estime que la vérification par open banking coûte généralement aux plateformes entre 0,30 dollar US et 1 dollar US par connexion réussie, selon les modalités de facturation. Il s’agit d’estimations du secteur, et non de frais confirmés pour le service concerné. Les criminels ont obtenu les résultats sans payer eux-mêmes les frais de vérification.
De fausses alertes de marketplace ont aidé les attaquants à collecter des informations bancaires
Fin avril 2026, la plateforme a signalé que ses systèmes de notification de paiement et de messagerie électronique étaient détournés pour diffuser chaque jour des liens d’hameçonnage à des milliers de destinataires. Les fraudeurs ont créé des comptes avec des adresses e-mail jetables et généré des messages usurpant l’identité de Poshmark, indiquant aux destinataires qu’une vente nécessitait une vérification d’identité.
Des liens raccourcis redirigeaient les destinataires vers de fausses pages de marketplace affichant des comptes à rebours. Des formulaires frauduleux recueillaient des informations personnelles et des données de carte bancaire, demandant parfois des identifiants bancaires ou des codes à usage unique.
Les enquêteurs ont établi un lien entre l’activité d’hameçonnage et les comptes servant à tester les identifiants grâce à des empreintes d’appareils communes enregistrées les 27 et 28 avril. Les deux opérations se déroulaient simultanément, ce qui permettait d’utiliser rapidement les codes de vérification nouvellement récupérés. Les chercheurs ont relevé des similitudes avec Classiscam, une opération d’escroquerie en tant que service.
Group-IB a ensuite réduit de plusieurs heures à moins d’une minute le temps nécessaire pour bloquer les comptes suspects. Plus de 230 comptes frauduleux ont été stoppés en mai 2026. Le rapport ne nomme pas la plateforme et ne quantifie pas les pertes totales. Group-IB a jugé l’activité compatible avec Classiscam, sans toutefois l’attribuer définitivement à cette opération.
Les plateformes financières doivent enquêter avant que les fonds ne bougent
Pour les organisations qui exploitent des intégrations financières, la détection de la fraude doit couvrir l’activité précédant un paiement. Selon les services que vous gérez, plusieurs contrôles peuvent aider à repérer les abus avant que les attaquants n’utilisent ailleurs des identifiants vérifiés.
- Administrateurs de fintechs et de plateformes. Examinez les tentatives répétées de liaison bancaire provenant de comptes récemment créés et recoupez les inscriptions suspectes à l’aide de la protection contre les robots et de l’analyse des appareils. Comparez les frais d’agrégation avec les connexions de clients légitimes afin d’identifier les coûts de vérification inexpliqués.
- Équipes chargées de la fraude et de la messagerie. Examinez les pics de notifications de paiement envoyées à des destinataires inconnus, en particulier depuis de nouveaux comptes. Examinez les liens intégrés et appliquez des contrôles contre l’hameçonnage via des services légitimes afin d’empêcher les notifications financières de diffuser des instructions frauduleuses.
- Équipes de sécurité bancaire. Enquêtez sur les connexions inhabituelles de comptes tiers lorsqu’une activité de bourrage d’identifiants ou que des identifiants volés sont soupçonnés. Examinez les autorisations récentes, révoquez les connexions inconnues lorsque cela est possible et coordonnez la réinitialisation des identifiants avec les clients concernés.
Les équipes financières doivent également examiner les dépenses de vérification parallèlement aux résultats des analyses de sécurité, car des hausses inhabituelles de la facturation peuvent révéler des abus que la surveillance des transactions ne détecte pas. La détection précoce de ces schémas permet aux organisations d’interrompre les tests d’identifiants avant que les criminels n’utilisent ces informations pour commettre d’autres fraudes.
Autres informations sur la cybersécurité : une connexion ETS compromise a exposé des données sensibles appartenant à des millions d’élèves actuels et anciens de Californie.