VENOM : la plateforme de phishing qui cible les dirigeants

Une nouvelle plateforme de phishing-as-a-service baptisée VENOM cible activement les cadres dirigeants — CEO, CFO et vice-présidents — pour dérober leurs identifiants Microsoft 365. Active depuis novembre 2025 au moins, cette campagne de VENOM phishing dirigeants se distingue par un niveau de personnalisation extrême : les pages d'authentification frauduleuses reprennent fidèlement l'identité visuelle de l'organisation visée, au point de tromper des utilisateurs pourtant sensibilisés. Ses opérateurs s'appuient en outre sur des techniques d'évasion sophistiquées, capables de filtrer le trafic d'analyse et d'intercepter les jetons de session, ce qui leur permet de contourner l'authentification multifacteur. Le gain est considérable pour les attaquants : un seul compte de direction compromis ouvre l'accès à la messagerie, aux validations de paiement et aux informations stratégiques de l'entreprise. Voici comment fonctionne cette menace et quelles mesures adopter pour s'en protéger.

Ce qui s'est passé

Des chercheurs en cybersécurité ont mis au jour VENOM, une plateforme de phishing sophistiquée qui opère depuis au moins novembre 2025. Contrairement aux campagnes de phishing classiques qui ratissent large, VENOM adopte une approche chirurgicale : chaque attaque vise nommément un dirigeant d'entreprise, avec des e-mails personnalisés reproduisant fidèlement les notifications de partage de documents SharePoint.

Le mécanisme d'attaque repose sur un proxy en temps réel de la page de connexion Microsoft. Lorsque la victime saisit ses identifiants et valide le MFA, VENOM intercepte le jeton de session, offrant à l'attaquant un accès complet au compte Microsoft 365. Une variante utilise le device code phishing : la cible est amenée à scanner un QR code qui autorise un appareil contrôlé par l'attaquant à accéder à son compte.

Ce qui rend VENOM particulièrement dangereux, c'est son système de filtrage. Les pages de phishing détectent les environnements sandboxés et les chercheurs en sécurité, les redirigeant vers des sites légitimes. Seules les cibles réelles atteignent la page de vol d'identifiants, ce qui explique pourquoi la plateforme est restée sous les radars pendant plusieurs mois. D'après BleepingComputer, VENOM n'a jamais été promu sur les canaux publics ni les forums underground.

Pourquoi c'est important

Le ciblage des dirigeants représente un risque majeur pour les organisations. Un compte compromis de CEO ou CFO donne accès à des informations stratégiques, des données financières sensibles et la possibilité d'envoyer des ordres de virement frauduleux depuis une adresse légitime. Ce type d'attaque, connu sous le nom de Business Email Compromise (BEC), représente selon le FBI la forme de cybercriminalité la plus coûteuse, avec des pertes cumulées de plusieurs milliards de dollars chaque année.

Le contournement du MFA est particulièrement préoccupant. De nombreuses entreprises considèrent l'authentification multifacteur comme une protection suffisante contre le phishing. VENOM démontre que cette hypothèse est fausse lorsque l'attaquant opère en temps réel comme proxy entre la victime et le service légitime. Les organisations doivent désormais envisager des protections supplémentaires comme les clés FIDO2, résistantes au phishing par conception. Ce type de menace rejoint les préoccupations soulevées par les risques du Shadow AI en entreprise, où des vecteurs d'attaque émergents échappent aux contrôles traditionnels.

Ce qu'il faut retenir

• Le MFA par SMS ou application n'est plus suffisant face aux attaques de type proxy en temps réel — privilégiez les clés FIDO2/WebAuthn
• Sensibilisez spécifiquement les dirigeants et assistants de direction, premières cibles de ces campagnes de spear-phishing
• Surveillez les connexions inhabituelles sur les comptes Microsoft 365 à privilèges élevés et activez les alertes de connexion depuis de nouveaux appareils

VENOM s'inscrit dans une vague plus large de kits AiTM

VENOM n'est pas un phénomène isolé : il rejoint une famille de kits de phishing dits « adversary-in-the-middle » (AiTM) apparue avec EvilProxy en 2022 puis étoffée par Tycoon 2FA et Mamba 2FA, tous conçus pour intercepter en temps réel les cookies de session et contourner le MFA. Microsoft Threat Intelligence a documenté une hausse continue de ce type d'attaques depuis 2023, ces kits étant de plus en plus loués en mode phishing-as-a-service sur des canaux privés plutôt que sur les forums publics traditionnels — exactement le modèle de diffusion fermé adopté par VENOM, qui complique le travail des équipes de threat intelligence chargées de cartographier l'infrastructure malveillante avant qu'elle ne soit exploitée à grande échelle.

L'enjeu financier est loin d'être anecdotique : selon le rapport annuel de l'IC3 (Internet Crime Complaint Center) du FBI, la fraude par compromission de messagerie professionnelle (BEC), souvent initiée par un vol d'identifiants de dirigeant, a généré plus de 2,9 milliards de dollars de pertes déclarées aux États-Unis sur la seule année 2023, un chiffre en progression constante. En France, la CPME et plusieurs assureurs cyber constatent une augmentation comparable des sinistres liés au piratage de comptes Microsoft 365 de cadres dirigeants, ces comptes servant ensuite de point d'appui pour des virements frauduleux ou l'exfiltration de données stratégiques. La spécificité de VENOM — un ciblage nominatif combiné à une évasion active des bacs à sable de sécurité — signale une professionnalisation des groupes qui investissent désormais dans la furtivité autant que dans le volume, rendant les indicateurs de compromission classiques (listes de domaines, signatures statiques) rapidement obsolètes.