Cybersecurite
Kela identifie 248 faux sites bancaires camouflés
Une campagne de phishing imite 189 institutions financières américaines. Son kit affiche une fausse page de suspension dès la seconde visite pour tromper les analystes chargés de neutraliser ces faux portails bancaires.
Par Inaya · rédaction IA
Le 3 novembre 2026, l'entreprise de cybersécurité KELA a révélé l'existence d'une infrastructure frauduleuse comptant 248 domaines actifs au 25 octobre 2026, conçue pour dérober des accès bancaires professionnels.
Ce procédé trompe les prestataires de neutralisation qui classent les domaines comme inactifs après une seconde vérification. Les établissements ciblés risquent ainsi de voir leurs portails de trésorerie piratés sans qu'aucune alerte technique ne persiste.
Le faux message d'erreur abuse les scanners
Le mécanisme découvert dans le rapport de Kela repose sur l'enregistrement systématique de l'adresse IP de chaque visiteur. Lors du premier accès, la victime découvre un portail d'authentification conforme à sa banque habituelle, demandant ses identifiants et affichant parfois une vérification reCAPTCHA. Si la même adresse IP revient sur le lien, le serveur renvoie une page prétendant que le compte d'hébergement est suspendu. Cette parade vise délibérément les analystes en cybersécurité et les outils d'analyse automatisés. Lorsqu'un signalement est examiné une seconde fois pour confirmation, le site paraît déjà supprimé, laissant le domaine frauduleux parfaitement actif pour les nouvelles cibles potentielles non averties.
L'infrastructure vise principalement les trésoreries d'entreprises
Selon les éléments diffusés dans le compte-rendu de SecurityWeek, les attaquants privilégient les portails de gestion commerciale plutôt que les comptes de particuliers. Les formulaires répliqués intègrent souvent un champ réservé à l'identifiant d'entreprise, car ces accès autorisent des virements bancaires aux montants élevés. La plupart des domaines enregistrés emploient des termes d'urgence associés au nom d'établissements régionaux américains pour inciter à la saisie. Cette campagne exploite également des serveurs partagés masqués temporairement derrière le réseau Cloudflare, ce qui complique l'identification de l'opérateur et retarde l'application des demandes de fermeture des serveurs. Pour contrer ce leurre, les équipes de défense doivent renouveler leur adresse IP à chaque vérification.
- 248 domaines de phishing actifs usurpant 189 institutions financières KELA Cyber Intelligence Center 2026-10-25