Un kit d’hameçonnage récemment découvert, connu sous le nom de Spiderman permet aux cybercriminels d’imiter en quelques clics des dizaines de grandes banques européennes, réduisant considérablement les compétences nécessaires pour mener des campagnes de fraude financière à grande échelle.
Son développeur présente ce kit comme une solution clé en main pour dérober en temps réel des identifiants, des mots de passe à usage unique (OTP) et même des phrases de récupération de cryptomonnaies.
Le kit d’hameçonnage fournit aux attaquants « … bien plus qu’assez d’informations pour prendre le contrôle de comptes, mener des attaques par échange de carte SIM, commettre des fraudes à la carte bancaire et usurper des identités », ont déclaré les chercheurs de Varonis.
Le kit d’hameçonnage Spiderman cible les banques partout en Europe
Spiderman cible les clients en Allemagne, en Espagne, en Belgique, en Autriche et en Suisse, touchant des établissements allant de Deutsche Bank et CaixaBank à ING et Commerzbank.
Son adoption croissante — attestée par un groupe Signal comptant environ 750 utilisateurs — laisse penser qu’il est largement accessible aux attaquants de moindre niveau, ce qui accroît à la fois la fréquence et la portée géographique des campagnes d’hameçonnage financier.
Les dessous du workflow d’hameçonnage full-stack de Spiderman
À la base, Spiderman fonctionne comme un framework d’hameçonnage multimarque qui automatise chaque étape du vol d’identifiants.
Une fois que l’opérateur a sélectionné la banque qu’il souhaite imiter, le kit génère instantanément un clone au pixel près de la page de connexion de l’établissement, avec des champs pour les noms d’utilisateur, les mots de passe, les informations de carte bancaire et les invites PhotoTAN/OTP.
Le tableau de bord de l’opérateur affiche chaque session victime en temps réel — en suivant les saisies de l’utilisateur, les métadonnées IP et les informations relatives à l’appareil.
Après la saisie des premiers identifiants par une victime, les attaquants peuvent déclencher des invites supplémentaires pour recueillir d’autres informations sensibles, comme des numéros de carte bancaire, des coordonnées téléphoniques et les OTP nécessaires à l’autorisation des transactions.
Ces workflows en temps réel augmentent considérablement le taux de réussite des prises de contrôle de comptes, notamment dans les systèmes bancaires européens où l’authentification en plusieurs étapes est courante.
Spiderman intègre également des fonctionnalités avancées anti-analyse conçues pour contourner les outils de sécurité et limiter son exposition.
Le kit utilise une liste d’autorisation géographique afin que seules les régions ciblées puissent accéder à la page d’hameçonnage et applique un filtrage des FAI et des ASN pour bloquer les visites provenant des VPN, des centres de données et des réseaux connus de la recherche en sécurité.
Il restreint en outre l’accès selon le type d’appareil, afin que seuls les utilisateurs mobiles ou de bureau reçoivent le contenu malveillant.
Si un visiteur semble suspect ou ne répond pas aux critères autorisés, Spiderman le redirige automatiquement vers un site inoffensif, réduisant ainsi les risques de détection.
Ces contrôles permettent au kit d’échapper aux scanners automatisés et aux robots d’exploration de renseignements sur les menaces, ce qui rend sa détection bien plus difficile.
Ce que les kits d’hameçonnage Spiderman dérobent aux victimes
Contrairement aux simples modèles d’hameçonnage, Spiderman agit comme un système complet de détournement d’identifiants en temps réel, permettant aux attaquants de recueillir bien plus que de simples couples identifiant-mot de passe.
Les données recueillies comprennent souvent :
- Noms complets, numéros de téléphone et dates de naissance
- Informations bancaires et de carte bancaire
- Codes PhotoTAN pour l’approbation des transactions
- Agent utilisateur et empreintes des appareils
L’intégration de modules de cryptomonnaie — pour Metamask, Ledger et Exodus — illustre la convergence croissante entre fraude bancaire et vol de cryptomonnaies. Ces modules recueillent des phrases de récupération qui permettent un accès irréversible aux portefeuilles des victimes.
L’approche en plusieurs étapes de Spiderman permet également aux attaquants de maintenir une session continue avec chaque victime, identifiée par un identifiant unique. Cela aide à organiser les données volées en vue de leur utilisation ou de leur revente ultérieure, augmentant ainsi l’efficacité opérationnelle des groupes cybercriminels.
Les contrôles essentiels pour contrer l’évolution des menaces d’hameçonnage
Réduire l’impact de kits comme Spiderman nécessite de combiner une authentification plus robuste, une détection plus intelligente et une réponse coordonnée.
Les mesures suivantes peuvent aider les organisations et les établissements financiers à mettre en place des défenses plus résilientes contre l’évolution des workflows d’hameçonnage.
- Déployer une authentification multifacteur résistante à l’hameçonnage et une vérification renforcée pour réduire l’efficacité des kits qui dérobent les OTP.
- Renforcer les protections des e-mails et des domaines grâce à des filtres anti-hameçonnage avancés, à la mise en bac à sable, à l’application de DMARC et à des contrôles contre l’usurpation.
- Surveiller l’usurpation de marque et mettre rapidement en place des procédures de retrait pour les domaines malveillants et les pages bancaires clonées.
- Utiliser l’analyse comportementale et la détection des anomalies transactionnelles pour signaler les appareils, emplacements ou schémas d’authentification inhabituels.
- Sensibiliser les utilisateurs aux leurres d’hameçonnage propres à chaque région et fournir des indicateurs de sécurité clairs que les kits ne peuvent pas facilement reproduire.
- Exploiter les flux de renseignements sur les menaces pour identifier les nouvelles infrastructures d’hameçonnage, suivre les variantes inédites des kits et faire rapidement remonter les indicateurs aux défenses internes.
Ces mesures aident les organisations à renforcer leur résilience face aux attaques d’hameçonnage.
Spiderman s’inscrit dans une tendance plus large : les kits de cybercriminalité clé en main réduisent l’écart entre les acteurs sophistiqués de la menace et les opérateurs criminels moins expérimentés.
Grâce à des interfaces hautement automatisées, au contrôle des sessions en temps réel et à des filtres anti-analyse, les kits de ce type accélèrent le volume et la complexité des campagnes d’hameçonnage financier à travers l’Europe.
Alors que ces kits continuent d’abaisser le niveau de compétences requis pour les attaquants, de nombreux établissements réévaluent la manière dont des modèles de sécurité fondamentaux — comme le zero trust — peuvent mieux contenir l’impact des interactions compromises avec les utilisateurs.