Les cybercriminels continuent d’intégrer l’intelligence artificielle (IA) à leurs opérations pour gagner en efficacité et changer d’échelle.
L’analyse de Kitana, une plateforme de fraude de type adversaire interposé (AiTM), montre comment le développement assisté par l’IA et le contrôle des opérateurs en temps réel permettent de perfectionner le vol d’identifiants et la fraude au paiement.
Plutôt que de s’appuyer sur des logiciels malveillants traditionnels ou des techniques d’écrémage Web, Kitana associe une infrastructure de proxy inverse, du hameçonnage, et l’intervention en direct d’attaquants pour compromettre les transactions en ligne.
À retenir sur Kitana
- Kitana est une plateforme de fraude de type adversaire interposé (AiTM) assistée par l’IA qui intercepte les sessions en ligne à l’aide de domaines proxy contrôlés par les attaquants, plutôt que de logiciels malveillants traditionnels.
- La plateforme associe le hameçonnage, une infrastructure de proxy inverse et le contrôle des opérateurs en temps réel pour dérober des identifiants, des informations de paiement et des codes d’authentification pendant les sessions actives des utilisateurs.
- NCC Group a trouvé des indices d’un développement assisté par l’IA, notamment des structures de code cohérentes avec du code généré par de grands modèles de langage, ainsi que des pratiques de codage non sécurisées, telles que l’intégration en dur d’identifiants et l’exposition de clés d’API.
- Kitana illustre une tendance croissante vers des plateformes de fraude pilotées par des opérateurs qui automatisent les attaques tout en permettant aux criminels d’interagir avec les victimes en temps réel afin de maximiser les chances de réussite des fraudes au paiement.
- Les organisations doivent surveiller les domaines typosquattés, les journaux de transparence des certificats et les activités d’authentification suspectes tout en sensibilisant les utilisateurs à vérifier les domaines des sites Web ainsi que les demandes de connexion ou de paiement inattendues.
Qu’est-ce que Kitana ?
Découverte par NCC Group en avr. 2026, Kitana est une plateforme modulaire de fraude AiTM conçue pour intercepter les sessions en ligne en faisant transiter les victimes par des domaines proxy contrôlés par les attaquants.
Contrairement aux attaques de type Magecart, qui compromettent directement les sites des commerçants, Kitana reproduit en temps réel des sites légitimes tout en permettant aux opérateurs de surveiller et de manipuler les interactions avec les victimes.
Les chercheurs ont observé des infrastructures ciblant le secteur hôtelier au Canada et aux États-Unis, ainsi que des sites de commerce en ligne au Chili et en Arabie saoudite.
Bien que la campagne ait ciblé certains secteurs, l’architecture de la plateforme laisse penser qu’elle peut être adaptée pour viser un éventail plus large de services en ligne.
Fonctionnement de la plateforme
Les victimes sont dirigées vers des domaines typosquattés par des publicités malveillantes et des campagnes de hameçonnage.
Un proxy inverse Node.js reproduit le site légitime, tandis qu’un backend Python FastAPI orchestre les sessions et capture les données d’authentification.
Avant de diffuser du contenu malveillant, Kitana évalue les visiteurs à l’aide de la réputation de leur adresse IP, de leur géolocalisation, des caractéristiques de leur navigateur et de l’empreinte de leur appareil.
Les visiteurs suspects, notamment les chercheurs et les scanners automatisés, sont redirigés vers des pages leurres inoffensives générées par l’IA, ce qui aide la plateforme à échapper à la détection.
Lors des transactions de paiement, Kitana remplace le kit de développement logiciel (SDK) de paiement légitime par une version clonée qui capture les informations de carte bancaire et les données personnelles.
Les opérateurs peuvent ensuite déclencher des demandes d’authentification réalistes, notamment des requêtes 3D Secure (3DS), afin de recueillir des codes à usage unique, des identifiants et d’autres informations de paiement au cours de la même session.
Le développement assisté par l’IA accélère la fraude
NCC Group a identifié plusieurs indices laissant penser que certaines parties de Kitana ont probablement été développées à l’aide d’outils de codage assisté par l’IA.
La documentation, les fichiers de configuration et la structure du code suivaient des schémas très cohérents, couramment associés au code généré par de grands modèles de langage.
Dans le même temps, les chercheurs ont découvert des identifiants intégrés en dur et des clés d’API exposées dans l’ensemble du code source, ce qui suggère que la rapidité du développement a primé sur les pratiques d’ingénierie sécurisée.
Bien que ces résultats ne prouvent pas une prise de décision autonome par l’IA, ils montrent comment le développement assisté par l’IA peut réduire le temps et l’expertise technique nécessaires à la conception de plateformes de fraude sophistiquées.
Une menace croissante pour le commerce en ligne
Kitana illustre une évolution plus large vers des plateformes de cybercriminalité pilotées par des opérateurs, qui associent l’automatisation à la prise de décision humaine en temps réel.
Au lieu de recueillir les données dérobées pour les utiliser ultérieurement, les attaquants contrôlent activement les processus d’authentification pendant que les victimes restent connectées, ce qui augmente la probabilité de compromettre un compte et de réussir une fraude au paiement.
La plateforme intègre également des renseignements au niveau des BIN, permettant aux opérateurs de donner la priorité aux cartes de paiement les moins susceptibles de déclencher des étapes d’authentification supplémentaires, et d’améliorer ainsi l’efficacité des transactions frauduleuses.
En résumé
Kitana montre comment le développement assisté par l’IA réduit la barrière nécessaire à la création de plateformes de fraude avancées capables de faciliter le vol d’identifiants et la fraude au paiement à grande échelle.
Les organisations doivent renforcer leurs défenses en surveillant les domaines typosquattés, en suivant les journaux de transparence des certificats et en améliorant la visibilité grâce au renseignement sur les menaces concernant les infrastructures malveillantes.
La sensibilisation des clients à la vérification des domaines des sites Web et des demandes d’authentification inattendues demeure également une défense importante contre les attaques AiTM.