Infoblox décrit une cybercriminalité industrialisée, plus précise et mieux cachée. Pour les entreprises, l’exposition déborde désormais très loin du SI.
En bref
- Le risque sort du SI classique
- Les attaques ciblent mieux, laissent moins de traces
- Le DNS aide à remonter l’infrastructure cachée
Les équipes sécu ont un problème assez net. Une entreprise peut désormais se faire toucher sans brèche évidente chez elle, via sa marque, ses dirigeants, un fournisseur, un site partenaire compromis ou même une plateforme légitime utilisée tous les jours par ses collaborateurs. Le rapport 2026 de Infoblox décrit une cybercriminalité qui fonctionne comme une économie de services, avec hébergement, domaines jetables, kits de phishing, usurpation de marque, paiements et blanchiment assemblés pour produire des attaques plus rapides et plus discrètes.
L’entreprise visée, même sans faille chez elle
Ce qui change, c’est le périmètre. Le risque ne reste plus coincé dans le réseau interne ou sur un poste mal protégé. Infoblox montre que les attaquants passent aussi par les relations de confiance déjà en place, en particulier dans la supply chain.
Un site fournisseur compromis peut servir de relais vers des salariés, des clients ou des partenaires qui lui font confiance. Et ça contourne une partie des défenses classiques, puisque l’attaque ne part pas d’un domaine d’apparence suspecte, mais d’une infrastructure perçue comme légitime.
Des attaques plus propres, donc plus dures à voir
Les groupes malveillants misent moins sur le volume brut. Ils trient. Terminal utilisé, localisation, comportement, provenance du trafic, tout peut être analysé avant de décider qui sera redirigé vers l’arnaque ou le malware. Résultat, moins de traces visibles pour les chercheurs, les outils automatiques et les SOC.
Même logique côté publicité en ligne. Des acteurs abusent des capacités de ciblage de l’adtech pour montrer un contenu banal aux systèmes de détection, tout en réservant les contenus frauduleux aux profils visés. Infoblox et Confiant ont documenté l’usage détourné de Keitaro Tracker pour piloter ce type de campagne.
La fraude se réplique presque en série
Un autre point frappe quand même. Des briques logicielles légitimes peuvent être recyclées pour produire de la fraude à grande échelle. L’infrastructure DCloud Uni-App, conçue au départ comme framework de développement multiplateforme, a été détournée pour monter des faux sites d’échange crypto, des portails de jeux d’argent, des campagnes de phishing, des plateformes d’investissement frauduleuses et des portefeuilles crypto.
Depuis janvier 2024, Infoblox a relié plus de 18 000 domaines frauduleux à DCloud. Ces domaines ont été consultés par environ 985 clients entreprises. À ce niveau, on n’est plus dans l’attaque artisanale.
L’identité numérique devient le vrai butin
Le mot de passe seul ne suffit plus aux attaquants. Certains faux parcours KYC cherchent aussi des codes à usage unique reçus par SMS, des empreintes de terminaux, des contacts et des données biométriques faciales. Bref, tout ce qui permet ensuite de contourner une vérification, de garder la main sur un compte ou d’alimenter des fraudes plus larges.
Le rapport note aussi que le phishing frappe particulièrement les services financiers et l’assurance, devant le e-commerce, les transports et le secteur public.
Pourquoi la visibilité DNS compte à nouveau
Pour suivre cette chaîne d’attaque, Infoblox remet le DNS au centre. L’analyse DNS permet de retrouver des domaines liés entre eux, des serveurs de noms, des redirections, des infrastructures de commande et de contrôle, mais aussi des ponts entre plusieurs sites compromis.
Pour l’écosystème mobile et numérique, l’enjeu est là. La sécurité de la supply chain ne peut plus s’arrêter aux logiciels critiques. Elle doit aussi couvrir les domaines, les sites web et les infrastructures DNS des partenaires.
