W3LL : le FBI démantèle un kit phishing vendu 500 $

Ce qui s'est passé

Le bureau d'Atlanta du FBI a annoncé, conjointement avec la police nationale indonésienne, le démantèlement de W3LLSTORE, une place de marché clandestine active depuis 2019. Cette plateforme commercialisait, pour environ 500 dollars l'abonnement, un kit de phishing spécialisé dans le vol d'identifiants Microsoft 365 et capable de contourner l'authentification multifacteur en interceptant les jetons de session. L'opération W3LL phishing kit FBI Indonesie constitue, selon le communiqué officiel américain, la première action conjointe de lutte contre la cybercriminalité menée par les deux pays. Les enquêteurs estiment que l'outil a servi à cibler plusieurs milliers de boîtes aux lettres professionnelles à travers le monde, notamment dans le cadre d'attaques de type Business Email Compromise. Les serveurs de la place de marché ont été saisis, mettant fin à un service criminel structuré autour d'abonnements payants et d'un support technique dédié.

W3LL, vendu environ 500 dollars à la pièce, fournissait à ses clients des pages de connexion factices imitant fidèlement l'interface Microsoft. Le kit capturait non seulement les mots de passe, mais aussi les cookies de session, permettant aux attaquants de rejouer une session MFA déjà validée et de maintenir l'accès pendant plusieurs jours. Entre 2023 et 2024, l'outil aurait été utilisé contre plus de 17 000 victimes, et la marketplace aurait facilité la vente de plus de 25 000 comptes compromis entre 2019 et 2023.

Après la fermeture publique de W3LLSTORE en 2023, l'opération avait continué via des canaux chiffrés, le produit étant rebaptisé et revendu sous d'autres noms. L'enquête, menée par le bureau d'Atlanta avec l'appui d'Europol et de partenaires privés, a finalement permis d'identifier le développeur présumé, désigné par les initiales G.L., ainsi que les domaines de contrôle toujours actifs.

Pourquoi c'est important

Les kits « Phishing-as-a-Service » comme W3LL sont responsables d'une part croissante des compromissions Microsoft 365, notamment parce qu'ils abaissent dramatiquement la barrière technique. Pour 500 $, un acteur sans compétences offensives peut monter une campagne de contournement MFA fonctionnelle. Frapper le développeur — plutôt que les seuls acheteurs — attaque la racine économique du problème et devrait retirer au moins temporairement un outil majeur du marché.

Pour les entreprises, cette opération rappelle deux évidences : le vol de cookie de session reste le vecteur dominant de contournement MFA, et les contrôles centrés sur la géographie ou le type d'appareil (Conditional Access, Token Protection) sont indispensables pour bloquer ces sessions rejouées. L'activation du MFA seule ne suffit plus depuis des années.

Ce qu'il faut retenir (2)

• Le PhaaS n'est pas un risque théorique : W3LL, à lui seul, a facilité 20 M$ de tentatives de fraude et compromis au moins 17 000 comptes.
• Les contrôles MFA classiques ne suffisent plus face au vol de session — activer Conditional Access avec liaison appareil et Token Protection dans Entra ID.
• Surveiller les connexions réussies suivies immédiatement d'une règle Outlook d'auto-transfert ou de délégation : signature typique d'un kit de type W3LL post-authentification.

ce type de campagne durablement, même si les acheteurs historiques du kit peuvent migrer vers des offres concurrentes. Le phishing as-a-service a professionnalisé la chaîne de valeur cybercriminelle : développement, distribution, support technique et même hébergement des infrastructures C2 sont désormais externalisés, à l'image d'un modèle SaaS classique.

Un écosystème PhaaS déjà fragilisé par plusieurs coups de filet

W3LL n'est pas le premier kit de phishing ciblant Microsoft 365 à tomber. En 2023 déjà, une enquête conjointe de Group-IB et de partenaires du secteur avait exposé publiquement l'infrastructure W3LL, forçant une première réorganisation de la marketplace. D'autres familles concurrentes comme Tycoon2FA, EvilProxy ou Greatness — toutes spécialisées dans le contournement de l'authentification multifacteur via des proxys inverses (adversary-in-the-middle) — continuent de circuler activement sur les forums cybercriminels et Telegram. Selon plusieurs éditeurs de threat intelligence, ces kits AiTM représentaient déjà en 2025 plus de 40 % des campagnes de phishing détectées ciblant des environnements Microsoft 365 en entreprise, contre moins de 10 % trois ans plus tôt — une progression qui traduit le basculement massif des attaquants vers des techniques de vol de cookies de session plutôt que de simples identifiants statiques.

L'interpellation du développeur présumé de W3LL illustre aussi une évolution des priorités d'enquête : plutôt que de multiplier les arrestations d'acheteurs finaux, souvent nombreux et peu qualifiés, les autorités américaines concentrent leurs ressources sur les concepteurs et hébergeurs d'infrastructure, dont la neutralisation a un effet de levier bien supérieur. Cette approche rappelle les démantèlements de Genesis Market en 2023 ou de LockBit lors de l'opération Cronos en 2024, où la saisie des serveurs de contrôle et la divulgation publique de l'identité des opérateurs avaient significativement perturbé, sans l'éliminer totalement, l'activité criminelle associée.

Ce qu'il faut retenir

• W3LL illustre la maturité du marché du Phishing-as-a-Service, où un kit à 500 $ suffit à contourner le MFA via vol de cookies de session.
• La coopération judiciaire inédite entre les États-Unis et l'Indonésie marque une extension géographique des capacités d'enquête contre la cybercriminalité économique.
• Les entreprises utilisant Microsoft 365 doivent renforcer leurs contrôles au-delà du MFA classique : détection d'anomalies de session, conditional access basé sur l'appareil, et rotation des jetons.

Le démantèlement de W3LL suffit-il à faire baisser le phishing MFA-bypass ?

L'effet à court terme devrait être réel mais limité dans le temps : la saisie des domaines C2 et l'arrestation du développeur coupent l'accès au support et aux mises à jour du kit, ce qui devrait dégrader la fiabilité des campagnes menées par les acheteurs existants. Mais l'historique des opérations similaires montre que la demande ne disparaît pas — elle se redirige vers des kits concurrents déjà actifs comme Tycoon2FA. Pour les RSSI, la leçon opérationnelle reste la même : le MFA seul ne suffit plus face aux techniques adversary-in-the-middle, et les architectures de défense doivent intégrer une détection comportementale des sessions ainsi qu'une politique de Zero Trust incluant la vérification continue du contexte d'accès.