{"id":26687,"date":"2026-10-09T19:25:28","date_gmt":"2026-10-09T19:25:28","guid":{"rendered":"https:\/\/www.securitytoday.de\/?p=26687"},"modified":"2026-11-13T16:06:40","modified_gmt":"2026-11-13T16:06:40","slug":"knowbe4-un-lien-declenche-trois-campagnes-phishing","status":"publish","type":"post","link":"https:\/\/www.securitytoday.de\/fr\/2026\/10\/09\/knowbe4-un-lien-declenche-trois-campagnes-phishing\/","title":{"rendered":"KnowBe4 : un lien, trois attaques par hame\u00e7onnage"},"content":{"rendered":"<style id=\"premium3-layout\">.evm-premium-table table{width:100%;border-collapse:collapse;table-layout:fixed;}.evm-premium-table th,.evm-premium-table td{padding:16px;text-align:left;vertical-align:top;overflow-wrap:anywhere;border:1px solid #43524d;color:#e6e3da;font-size:.95em;line-height:1.6;}.evm-premium-table th{background:#003340;font-weight:700;color:#69d8ed;}.evm-premium-table td{background:#23261f;}[data-element=\"premium_reading\"] a{border:1px solid #e2dcd2!important;}@media(max-width:600px){.evm-premium-table table,.evm-premium-table tbody,.evm-premium-table tr,.evm-premium-table td{display:block;width:100%;box-sizing:border-box;}.evm-premium-table thead{display:none;}.evm-premium-table tr{margin-bottom:14px;}.evm-premium-table td::before{content:attr(data-label);display:block;color:#69d8ed;font-size:.78em;font-weight:700;text-transform:uppercase;letter-spacing:.04em;margin-bottom:6px;}[data-element=\"premium_tldr\"]{padding:24px!important;}.evm-premium-reading{gap:12px!important;}.evm-premium-reading img{width:86px!important;height:58px!important;}}<\/style>\n<p><strong>Une fausse alerte de connexion iCloud affiche une connexion Windows et une adresse Apple. Derri\u00e8re se cache un kit qui dirige le clic vers l&rsquo;une de trois op\u00e9rations selon le User-Agent. Windows r\u00e9cup\u00e8re ScreenConnect. Les appareils Apple aboutissent sur un domaine tiers. Le reste passe par un relais Telegram en direct.<\/strong><\/p>\n<aside data-element=\"premium_tldr\" style=\"background:#003340;color:#fff;padding:32px 36px;margin:32px 0;border-radius:8px;\">\n<p style=\"font-family:ui-monospace,monospace;font-size:0.76em;font-weight:700;letter-spacing:0.08em;text-transform:uppercase;margin:0 0 14px;color:#69d8ed;\">L&rsquo;essentiel en bref<\/p>\n<ul style=\"margin:0;padding-left:20px;line-height:1.7;\">\n<li style=\"margin:0 0 12px;color:#fff;\"><strong style=\"color:#69d8ed;\">Un app\u00e2t iCloud m\u00e8ne \u00e0 trois chemins d&rsquo;attaque.<\/strong> Le User-Agent d\u00e9cide : Windows re\u00e7oit ScreenConnect, les appareils Apple sont dirig\u00e9s vers une page de connexion externe, les autres terminent dans le relais de connexion pilot\u00e9 via Telegram.<\/li>\n<li style=\"margin:0 0 12px;color:#fff;\"><strong style=\"color:#69d8ed;\">Le troisi\u00e8me chemin intercepte des codes MFA valides.<\/strong> Un op\u00e9rateur pilote les fausses pages de connexion en temps r\u00e9el. Notifications push et codes \u00e0 usage unique peuvent \u00eatre transmis ; FIDO2 r\u00e9siste \u00e0 ce relais de hame\u00e7onnage.<\/li>\n<li style=\"margin:0;color:#fff;\"><strong style=\"color:#69d8ed;\">L&rsquo;analyse atteste plus de 250 clics humains.<\/strong> Les acc\u00e8s enregistr\u00e9s datent des 5 et 6 mai 2026. La reconstruction du KnowBe4 Threat Lab du 30 juillet repose sur un r\u00e9pertoire d&rsquo;attaquant librement accessible ; aucune CVE n&rsquo;est cit\u00e9e.<\/li>\n<\/ul>\n<\/aside>\n<p style=\"border-top:1px solid rgba(230,227,218,0.14);border-bottom:1px solid rgba(230,227,218,0.14);padding:14px 0;margin:28px 0;font-size:0.92em;color:#b8c5ce;\"><strong style=\"color:#69d8ed;\">\u00c0 lire aussi :<\/strong> <a href=\"https:\/\/www.securitytoday.de\/fr\/2026\/02\/21\/mfa-bypass-2026-pourquoi-votre-deuxieme-facteur-ne-vous-protege-plus-2\/\">Contournement du MFA en 2026 : pourquoi votre second facteur ne vous prot\u00e8ge plus<\/a>  \u00b7  <a href=\"https:\/\/www.securitytoday.de\/fr\/2026\/03\/10\/outils-rmm-comme-porte-dentree-check-liste-de-securite-pour-connectwise-kaseya-et-autres\/\">Les outils RMM comme porte d&rsquo;entr\u00e9e : check-list s\u00e9curit\u00e9 pour ConnectWise, Kaseya et consorts<\/a><\/p>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">L&rsquo;app\u00e2t affiche une connexion Windows<\/h2>\n<p>Le mail se pr\u00e9sente comme une alerte de s\u00e9curit\u00e9 iCloud. Un ordinateur Windows inconnu se serait connect\u00e9. Horodatage et adresse IP figurent dans le texte. L&rsquo;adresse visible est account[.]apple[.]com. Le clic part ailleurs.<\/p>\n<p>Un num\u00e9ro de dossier 03483526-WQAD et un long pav\u00e9 de clauses de responsabilit\u00e9 doivent donner \u00e0 l&rsquo;alerte l&rsquo;allure d&rsquo;un cas en cours. Prabhakaran Ravichandhiran et Jeewan Singh Jalal, du KnowBe4 Threat Lab, ont analys\u00e9 ce d\u00e9roul\u00e9. All-about-security.de a relay\u00e9 l&rsquo;information le 13 ao\u00fbt 2026.<\/p>\n<div data-element=\"definition_box\" style=\"background:#23261f;border:1px solid rgba(105,216,237,0.22);border-radius:10px;padding:20px 24px;margin:32px 0;box-shadow:inset 0 1px 0 rgba(230,227,218,0.06),0 2px 10px rgba(0,0,0,0.22);\">\n<p style=\"margin:0 0 8px;font-family:'IBM Plex Mono',ui-monospace,SFMono-Regular,monospace;font-size:0.72em;letter-spacing:0.12em;text-transform:uppercase;color:#69d8ed;\">D\u00e9finition \u00b7 Kit de phishing adapt\u00e9 \u00e0 l&rsquo;OS<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\"><strong>Qu&rsquo;est-ce qu&rsquo;un kit de phishing adapt\u00e9 \u00e0 l&rsquo;OS ?<\/strong> Un app\u00e2t commun, puis un routeur. Le User-Agent d\u00e9termine vers quelle op\u00e9ration le clic est dirig\u00e9. Windows, Apple et le reste suivent des chemins s\u00e9par\u00e9s. Le Threat Lab reconstitue le kit \u00e0 partir d&rsquo;un r\u00e9pertoire ouvert sur le serveur de payload.<\/p>\n<\/div>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">Trois redirections m\u00e8nent \u00e0 l&rsquo;attaque<\/h2>\n<p>Le lien int\u00e9gr\u00e9 n&rsquo;ouvre aucune page de hame\u00e7onnage. Il passe par trois \u00e9tapes. Le Hop 1 exploite une redirection ouverte sur track[.]rbfcu[.]org, le domaine d&rsquo;une coop\u00e9rative de cr\u00e9dit am\u00e9ricaine. Les scanners de passerelle voient d&rsquo;abord une adresse financi\u00e8re.<\/p>\n<p>Le Hop 2 se trouve sur globalema[.]com. La cible est encod\u00e9e en base64 dans le param\u00e8tre. Le Hop 3 est le serveur de payload cherylbirch[.]com. Avant chaque page, antibot.php filtre Defender, SafeLinks, les IP de sandbox et les navigateurs headless. Celui qui est bloqu\u00e9 par le filtre re\u00e7oit une page d&rsquo;erreur 404 anodine.<\/p>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">Le syst\u00e8me d&rsquo;exploitation d\u00e9cide du chemin d&rsquo;attaque<\/h2>\n<p>Derri\u00e8re le filtre, un script PHP lit le User-Agent. Windows part en interne vers le chemin ScreenConnect. Apple, donc iPhone, iPad et Mac, est dirig\u00e9 vers https:\/\/andersonsin[.]com\/gg\/g. Linux sans Android et tous les autres aboutissent sur un chemin de collecte g\u00e9n\u00e9ral de la m\u00eame machine.<\/p>\n<p>Le trafic des appareils Apple est d\u00e9lib\u00e9r\u00e9ment dirig\u00e9 vers un second domaine. Celui qui ne trouve que cherylbirch[.]com ne voit pas automatiquement l&rsquo;op\u00e9ration Apple. Un m\u00eame app\u00e2t sert \u00e0 mener trois op\u00e9rations distinctes. Aucune CVE ne s&rsquo;y rattache.<\/p>\n<aside aria-label=\"Le m\u00eame clic, trois cons\u00e9quences\" data-element=\"os_attack_paths\" style=\"clear:both;margin:32px 0;padding:24px;border:1px solid rgba(105,216,237,.3);border-radius:8px;background:#23261f;color:#e6e3da;\">\n<p style=\"font-family:ui-monospace,monospace;font-size:0.76em;font-weight:700;letter-spacing:0.08em;text-transform:uppercase;margin:0 0 14px;color:#69d8ed;\">Le m\u00eame clic, trois cons\u00e9quences<\/p>\n<div style=\"display:grid;grid-template-columns:repeat(auto-fit,minmax(min(100%,190px),1fr));gap:14px;\">\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">Windows<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Portail DocSend falsifi\u00e9 \u2192 installation de ScreenConnect \u2192 acc\u00e8s \u00e0 distance.<\/p>\n<\/div>\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">Apple<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Domaine distinct \u2192 fausse connexion \u2192 vol d&rsquo;identifiants.<\/p>\n<\/div>\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">Android, Linux et autres<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Fausse connexion Microsoft \u2192 op\u00e9rateur Telegram \u2192 transmission des codes MFA.<\/p>\n<\/div>\n<\/div>\n<\/aside>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">Sur Windows, ScreenConnect se d\u00e9guise en visionneuse de documents<\/h2>\n<p>Les utilisateurs de Windows voient un portail dans le style de DocSend. Une visionneuse serait n\u00e9cessaire pour ouvrir un document s\u00e9curis\u00e9. Compte \u00e0 rebours, barre de progression et sceau de certification figurent sur la page. Le fichier s&rsquo;appelle ScreenConnect.ClientSetup.exe.<\/p>\n<p style=\"overflow-wrap:anywhere;\">ScreenConnect est un outil commercial de prise en main \u00e0 distance dot\u00e9 d&rsquo;une signature valide. Apr\u00e8s l&rsquo;installation, l&rsquo;op\u00e9rateur dispose de l&rsquo;\u00e9cran, des fichiers et de la console. La valeur SHA-256 du fichier livr\u00e9 est f9a67b861d56beffa0c880ecc90ec8c1fe6b540aec6438783bb60ea094c0aef9. Un EDR qui ne cherche que des logiciels malveillants voit ici un outil informatique.<\/p>\n<p>Les utilisateurs Apple sont redirig\u00e9s \u00e0 leur insu vers andersonsin[.]com, aux chemins \/cc\/ et \/gg\/g. La page imite une connexion. Les cibles y sont iCloud et Microsoft 365. La barre d&rsquo;adresse est le seul \u00e9l\u00e9ment manifestement discordant. login1[.]indomesinq[.]click appara\u00eet comme troisi\u00e8me domaine externe de collecte.<\/p>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">Telegram transmet les identifiants et les codes MFA<\/h2>\n<p>Android, Linux et le reste passent par plusieurs pages de connexion sur le serveur principal. Apr\u00e8s l&rsquo;envoi, la saisie atterrit chez un bot Telegram. Un op\u00e9rateur lit en direct et envoie la page suivante. Le navigateur affiche un \u00e9cran d&rsquo;attente et renouvelle la requ\u00eate toutes les trois secondes.<\/p>\n<p>C&rsquo;est de l&rsquo;Adversary-in-the-Middle. L&rsquo;op\u00e9rateur rejoue de vrais codes MFA contre le vrai compte, tant qu&rsquo;ils sont valables. La correspondance des nombres dans les notifications push et les codes \u00e0 usage unique sont inefficaces ici. L&rsquo;authentification par cl\u00e9 mat\u00e9rielle FIDO2 est li\u00e9e au service l\u00e9gitime et ne peut pas \u00eatre relay\u00e9e.<\/p>\n<p>Une seconde page Microsoft 365 invoque un mot de passe erron\u00e9. La premi\u00e8re saisie permet de voler le mot de passe, la seconde sert \u00e0 le confirmer. La m\u00eame infrastructure h\u00e9berge des pages de collecte pour Microsoft 365, Microsoft Authenticator, iCloud, Google, le SSO d&rsquo;entreprise et la plateforme RH Awardco (iex.html). L&rsquo;alerte iCloud n&rsquo;est que l&rsquo;un des d\u00e9ploiements du m\u00eame kit.<\/p>\n<p>Deux bots apparaissent dans les artefacts : @smokeiT_bot pour la production, @dswagofficebot comme console de test. Le butin arrive dans le groupe Telegram G-MLOGS, qui compte cinq membres. Le cr\u00e9ateur indiqu\u00e9 est JH Lee (@jhlee111). Comme op\u00e9rateur en mai 2026, le Lab cite @dswag10. Trois tokens de bot et des journaux d&rsquo;erreurs PHP remontent \u00e0 septembre 2025. C&rsquo;est une petite \u00e9quipe, avec au moins huit mois d&rsquo;exploitation.<\/p>\n<p>Le journal des redirections de l&rsquo;attaquant compte plus de 250 clics humains confirm\u00e9s les 5 et 6 mai 2026. Sur 157 victimes g\u00e9olocalis\u00e9es, 150 se trouvaient aux \u00c9tats-Unis. Viennent ensuite le Canada et le Pakistan, avec deux victimes chacun, puis le Royaume-Uni, avec une victime, soit au total 155 des 157 victimes. Selon KnowBe4, la campagne a \u00e9t\u00e9 active en juin et juillet et ne tourne plus actuellement. L&rsquo;Europe n&rsquo;\u00e9tait pas une cible en soi. KnowBe4 ne peut pas confirmer s&rsquo;il y a eu des clics depuis l&rsquo;Europe, car le jeu de donn\u00e9es provient surtout de mails signal\u00e9s, qui ne capturent pas les clics sur les liens. Appareils : Apple environ 65 %, Windows environ 28 %, Android et le reste environ 7 %.<\/p>\n<div data-element=\"key_number\" style=\"background:#003340;border:1px solid rgba(105,216,237,0.28);border-radius:10px;padding:28px 24px;margin:32px 0;text-align:center;\">\n<div style=\"font-size:1.6em;font-weight:800;color:#69d8ed;line-height:1.05;word-break:keep-all;\">150 sur 157<\/div>\n<p style=\"margin:10px 0 0;font-size:0.92em;color:#e6e3da;\">victimes g\u00e9olocalis\u00e9es se trouvaient aux \u00c9tats-Unis<\/p>\n<p style=\"margin:6px 0 0;font-size:0.78em;color:#8fa3ab;\">Source : KnowBe4 Threat Lab, journal des redirections des 5 et 6 mai 2026<\/p>\n<\/div>\n<h2>L&rsquo;app\u00e2t DocuSign apporte aussi l&rsquo;acc\u00e8s \u00e0 distance sur Mac<\/h2>\n<p>Le KnowBe4 Threat Lab a signal\u00e9 le 14 ao\u00fbt 2026 un autre cas impliquant un faux service de signature DocuSign. Le kit livrait ScreenConnect aussi bien aux appareils Windows qu&rsquo;aux appareils macOS. Le signalement documente une campagne suppl\u00e9mentaire. Un lien entre les auteurs des deux cas n&rsquo;est pas \u00e9tabli pour autant.<\/p>\n<p>Pour la d\u00e9fense, la comparaison signifie : le cas iCloud conduit les appareils Apple vers une fausse connexion, la variante DocuSign cherche aussi \u00e0 permettre la prise de contr\u00f4le \u00e0 distance de ces appareils. L&rsquo;examen des installations suspectes de prise en main \u00e0 distance doit donc couvrir les appareils effectivement touch\u00e9s. Un simple changement de mot de passe ne neutralise pas un outil de prise en main \u00e0 distance d\u00e9j\u00e0 install\u00e9.<\/p>\n<h2 style=\"margin-top:48px;margin-bottom:18px;\">Ce que les \u00e9quipes s\u00e9curit\u00e9 devraient v\u00e9rifier apr\u00e8s le clic<\/h2>\n<p>Passerelle, proxy et filtres DNS re\u00e7oivent d&rsquo;abord les domaines track[.]rbfcu[.]org, globalema[.]com, cherylbirch[.]com, andersonsin[.]com et login1[.]indomesinq[.]click. L&rsquo;EDR cherche le hachage du fichier ScreenConnect. Toute installation inconnue de ScreenConnect ou de ConnectWise apr\u00e8s ce clic doit \u00eatre consid\u00e9r\u00e9e comme compromise jusqu&rsquo;\u00e0 preuve du contraire.<\/p>\n<p>Toute personne ayant saisi des identifiants sur une page de cette cha\u00eene doit renouveler ses identifiants pour son compte Apple, Microsoft 365 et Google. Le trafic sortant vers l&rsquo;API des bots Telegram doit \u00eatre plac\u00e9 sous surveillance. Pour contrer le troisi\u00e8me sc\u00e9nario d&rsquo;attaque, FIDO2 remplace les notifications push et le TOTP. Ce leurre pr\u00e9cis (alerte iCloud, appareil Windows et URL Apple affich\u00e9e) peut servir de sc\u00e9nario de simulation, avant qu&rsquo;une nouvelle campagne ne r\u00e9utilise la m\u00eame infrastructure avec un autre pr\u00e9texte.<\/p>\n<aside aria-label=\"Ce qu'il faut v\u00e9rifier apr\u00e8s un clic suspect\" data-element=\"response_actions\" style=\"clear:both;margin:32px 0;padding:24px;border:1px solid rgba(105,216,237,.3);border-radius:8px;background:#23261f;color:#e6e3da;\">\n<p style=\"font-family:ui-monospace,monospace;font-size:0.76em;font-weight:700;letter-spacing:0.08em;text-transform:uppercase;margin:0 0 14px;color:#69d8ed;\">Ce qu&rsquo;il faut v\u00e9rifier apr\u00e8s un clic suspect<\/p>\n<div style=\"display:grid;grid-template-columns:repeat(auto-fit,minmax(min(100%,190px),1fr));gap:14px;\">\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">V\u00e9rifier les installations<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Rechercher les installations inconnues de ScreenConnect ou ConnectWise sur les appareils concern\u00e9s.<\/p>\n<\/div>\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">S\u00e9curiser les comptes<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Si des identifiants ont \u00e9t\u00e9 saisis, r\u00e9initialiser les identifiants concern\u00e9s.<\/p>\n<\/div>\n<div style=\"padding:18px;background:#18241f;border-radius:6px;min-width:0;\">\n<p style=\"margin:0 0 10px;color:#69d8ed;font-weight:700;line-height:1.45;\">Surveiller l&rsquo;infrastructure<\/p>\n<p style=\"margin:0;color:#e6e3da;line-height:1.6;\">Contr\u00f4ler les domaines cit\u00e9s et le hachage du fichier ; surveiller le trafic vers l&rsquo;API des bots Telegram.<\/p>\n<\/div>\n<\/div>\n<\/aside>\n<p>Adressez les signalements \u00e0 reportphishing@apple.com ainsi qu&rsquo;\u00e0 votre propre \u00e9quipe de s\u00e9curit\u00e9. La reconstruction figure dans l&rsquo;article du KnowBe4 Threat Lab du 30 juillet 2026. All-about-security.de a repris l&rsquo;histoire le 13 ao\u00fbt. L&rsquo;analyse ne cite aucun num\u00e9ro de CVE.<\/p>\n<h2 style=\"padding-top:64px;margin-bottom:20px;\">Questions fr\u00e9quentes<\/h2>\n<p class=\"st-faq-hint\">Chaque question est ferm\u00e9e. Un appui d\u00e9verrouille la r\u00e9ponse.<\/p>\n<details>\n<summary><strong>Ce kit fait-il l&rsquo;objet d&rsquo;une CVE ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Non. Le Threat Lab d\u00e9crit de l&rsquo;ing\u00e9nierie sociale, des redirections, un r\u00e9pertoire ouvert et l&rsquo;utilisation d&rsquo;un outil commercial de prise en main \u00e0 distance. L&rsquo;analyse du 30 juillet 2026 ne contient aucun num\u00e9ro de CVE.<\/p>\n<\/details>\n<details>\n<summary><strong>L&rsquo;app\u00e2t ne vise-t-il que les comptes Apple ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Non. L&rsquo;alerte parle d&rsquo;iCloud. Windows re\u00e7oit ScreenConnect. Apple atterrit sur andersonsin[.]com. Le reste passe par une connexion Microsoft avec op\u00e9rateur en direct. La m\u00eame machine h\u00e9berge d&rsquo;autres pages de collecte.<\/p>\n<\/details>\n<details>\n<summary><strong>Le MFA bloque-t-il le troisi\u00e8me chemin ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Le push et le TOTP sont de vrais codes. L&rsquo;op\u00e9rateur les rejoue contre le vrai compte. FIDO2 lie la v\u00e9rification au vrai service. Le Lab cite FIDO2 comme m\u00e9thode d&rsquo;authentification que ce relais ne peut pas retransmettre.<\/p>\n<\/details>\n<details>\n<summary><strong>Quels domaines placer dans les filtres ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">track[.]rbfcu[.]org, globalema[.]com, cherylbirch[.]com, andersonsin[.]com et login1[.]indomesinq[.]click. Plus le hachage du fichier ScreenConnect. Les domaines de la cha\u00eene sont neutralis\u00e9s par l&rsquo;ajout de crochets ; retirez ces crochets avant l&rsquo;import dans le SIEM.<\/p>\n<\/details>\n<details>\n<summary><strong>Un mail de sensibilisation au personnel suffit-il ?<\/strong><\/summary>\n<p style=\"margin:8px 0 4px 24px;color:#555;line-height:1.6;\">Un mail seul ne ferme pas ScreenConnect. D&rsquo;abord filtres et hachage, puis les installations RMM inconnues, puis la r\u00e9initialisation des mots de passe, puis FIDO2. La simulation de cet app\u00e2t est la derni\u00e8re \u00e9tape, pas la premi\u00e8re.<\/p>\n<\/details>\n<p><!--ST-LOWER-CARDS lang=fr--><\/p>\n<h3 style=\"margin:48px 0 18px;font-size:1.05em;font-weight:800;color:#e6e3da;line-height:1.2;\">Plus du r\u00e9seau MBF Media<\/h3>\n<p><a href=\"https:\/\/www.digital-chiefs.de\/fr\/cra-impose-aux-fabricants-de-declarer-sous-24-heures\/\" style=\"display:flex;align-items:center;gap:14px;padding:12px 14px;margin:0 0 10px;background:#23261f;border:1px solid rgba(105,216,237,0.18);border-radius:12px;box-shadow:0 6px 18px rgba(0,0,0,0.22);text-decoration:none;color:#e6e3da;box-sizing:border-box;width:100%;\"><span style=\"flex:0 0 116px;aspect-ratio:16\/9;overflow:hidden;border-radius:8px;background:#111210;border:1px solid rgba(230,227,218,0.08);display:block;\"><img decoding=\"async\" src=\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/11\/net-cra-forces-manufacturers-to-report-withi-39561944-250x141.jpg\" alt=\"\" loading=\"lazy\" width=\"116\" height=\"65\" style=\"width:100%;height:100%;object-fit:cover;display:block;\"><\/span><span style=\"display:block;min-width:0;\"><span style=\"display:block;font-size:0.68em;font-weight:700;letter-spacing:0.1em;text-transform:uppercase;color:#e8828d;margin-bottom:5px;\">Digital Chiefs<\/span><span style=\"display:block;font-size:1.0em;font-weight:650;line-height:1.35;color:#e6e3da;overflow-wrap:anywhere;\">CRA impose aux fabricants de d\u00e9clarer sous 24 heures<\/span><\/span><\/a><!--\/ST-LOWER-CARDS--><\/p>\n<p style=\"font-style:italic;text-align:right;font-size:0.85em;margin-top:8px;\">Source de l&rsquo;image : g\u00e9n\u00e9r\u00e9 par IA (ao\u00fbt 2026)<\/p>\n","protected":false},"excerpt":{"rendered":"Le KnowBe4 Threat Lab d\u00e9crit un kit derri\u00e8re de fausses alertes iCloud. Un clic, trois op\u00e9rations. Plus de 250 acc\u00e8s confirm\u00e9s les 5 et 6 mai.","protected":false},"author":10,"featured_media":23306,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"kit de phishing KnowBe4","_yoast_wpseo_title":"KnowBe4 : un lien d\u00e9clenche trois attaques par hame\u00e7onnage","_yoast_wpseo_metadesc":"KnowBe4 Threat Lab : kit de phishing adapt\u00e9 \u00e0 l'OS derri\u00e8re des alertes iCloud. Un lien, trois voies. Plus de 250 clics les 5 et 6 mai 2026.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"evm_kih_original":false,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_pin_until":0,"evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"fr","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[256],"tags":[],"class_list":["post-26687","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-praxis-umsetzung-fr"],"evm_reading_time_minutes":10,"wpml_language":"fr","wpml_translation_of":23299,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/26687","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/comments?post=26687"}],"version-history":[{"count":19,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/26687\/revisions"}],"predecessor-version":[{"id":27256,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/posts\/26687\/revisions\/27256"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media\/23306"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/media?parent=26687"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/categories?post=26687"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/fr\/wp-json\/wp\/v2\/tags?post=26687"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}