Interpol démantèle 16shop, le supermarché du phishing

Dans le cadre d’une « enquête mondiale », l’organisation internationale de police criminelle (Interpol) est parvenue à faire tomber 16shop. Cette plateforme, très prisée par les cybercriminels débutants, commercialisait des kits de phishing depuis 2018. Grâce à ces kits, les pirates pouvaient aisément orchestrer des attaques visant à subtiliser les numéros de carte de crédit des internautes et d’autres informations sensibles.

À lire aussi : un redoutable nouveau ransomware sort de l’ombre, DarkGate

Trois cybercriminels interpellés

Pour mener l’opération à bien, Interpol s’est appuyée sur l’expertise de plusieurs entreprises de cybersécurité, dont Group-IB. Avec l’appui de ces partenaires, la police a « pu déterminer l’identité et l’emplacement probable de l’administrateur », en Indonésie.

L’administrateur, âgé de 21 ans, a été arrêté par les autorités indonésiennes en février 2022. Un complice, également localisé en Indonésie, a ensuite été interpellé. Un troisième criminel est finalement tombé dans les filets de la police au Japon. Dans la foulée, les forces de l’ordre ont saisi des « articles électroniques et plusieurs véhicules de luxe ». Tout porte à croire que l’administrateur a divulgué l’identité de ses partenaires aux enquêteurs.

Le phishing pour tous

Interpol décrit 16shop comme le supermarché du « phishing as a service » (PaaS). Par le biais d’un abonnement, des escrocs en herbe obtenaient tout le matériel nécessaire pour piéger leurs victimes, par mail ou avec des PDF frauduleux par exemple. On y trouvait notamment des outils pour propager massivement des mails ou pour suivre les performances d’une attaque par le biais d’un tableau de bord. Ceux-ci ont permis « aux cybercriminels ayant des compétences modestes en programmation » d’organiser de vastes attaques, note Group-IB. Adi Vivid Agustiadi Bachtiar, directeur de la cybercriminalité de la police nationale indonésienne, abonde dans le même sens :

« lorsque le crime est largement proposé par abonnement pour automatiser les campagnes de phishing, il permet à toute personne de tirer parti de ce type de service pour lancer une attaque de phishing en quelques clics ».

Après enquête, Group-IB révèle que les kits étaient commercialisés à des prix allant de 60 à 150 dollars. Ce tarif, plutôt réduit, a contribué à la popularisation de la plateforme et à l’explosion des attaques phishing. Le prix d’un kit dépendait évidemment de l’entité visée, indiquent les chercheurs :

« De fausses pages imitant l’interface d’Amazon ont été vendues pour 60 $, et des pages d’hameçonnage ciblant les utilisateurs d’American Express pour 150 $ ».

Plus de 70 000 victimes

Les cibles privilégiées des kits comprenaient Apple, PayPal, American Express, Amazon, ou encore CashApp. D’après les données de Group-IB, plus de 150 000 pages de phishing ont été mises sur pied à l’aide des outils proposés sur la boutique. Pour Interpol, au moins 70 000 utilisateurs de 43 pays différents sont tombés dans le piège d’un kit vendu par 16shop.

Les pages de phishing étaient disponibles dans plus de huit langues, ce qui a permis aux hackers de « cibler les victimes presque partout dans le monde ». Le communiqué de la police rappelle que « 90 % des violations de données sont liées à des attaques de phishing réussies ». C’est aussi « la cybermenace la plus répandue dans le monde ».

Ces derniers mois, les forces de l’ordre ont provoqué l’effondrement de plusieurs places de marché réservées aux cybercriminels. En avril, le FBI a mené une opération coup de poing à l’encontre de Genesis Market, un supermarché consacré aux bots numériques. Peu avant, BreachForums, aussi appelé « Breached », le plus important site de revente de données volées, est également tombé. La police fédérale américaine a mis la main sur l’administrateur du forum. La plateforme avait comblé le grand vise laissé par RaidForums, l’un des plus grands forums de piratage, démantelé en 2022.