40 000 PME ciblées par du phishing via les adresses légitimes de Meta

Des hackers ont trouvé un angle mort redoutable, détourner les notifications de Meta Business pour livrer du phishing depuis une infrastructure considérée comme fiable. Le résultat, des emails qui ressemblent à s’y méprendre aux alertes habituelles de gestion de pages et de publicités, et qui passent plus facilement les filtres, parce que l’expéditeur s’appuie sur des domaines utilisés par Meta pour ses messages.

Les chercheurs en sécurité qui ont documenté la campagne évoquent plus de 40 000 emails envoyés, visant plus de 5 000 organisations en Amérique du Nord, en Europe et dans la zone Asie-Pacifique. La cible prioritaire, les PME et le mid-market, dans des secteurs où les équipes vivent dans les interfaces Meta au quotidien, automobile, immobilier, hôtellerie, éducation, finance.

Check Point recense 40 000 emails visant 5 000 entreprises

Les chiffres donnent l’échelle. Plus de 40 000 emails ont été observés, répartis sur plus de 5 000 organisations, avec une diffusion internationale, États-Unis, Europe, Canada, Australie, et au-delà selon les télémétries agrégées. On n’est pas sur un incident isolé, mais sur une campagne structurée, capable de frapper en volume tout en conservant un vernis de crédibilité grâce au canal utilisé.

Dans la majorité des cas, les entreprises ont reçu moins de 300 messages, ce qui suffit à créer de la confusion dans une boîte partagée « marketing » ou « ads ». Mais un cas ressort, une organisation a encaissé plus de 4 200 emails. À ce niveau, ce n’est plus seulement un risque de clic, c’est aussi un risque opérationnel, surcharge des équipes, alertes noyées, et tentation de « traiter vite » pour faire disparaître les notifications.

Les secteurs ciblés ne sont pas choisis au hasard. Dans l’automobile, l’immobilier ou l’hôtellerie, les campagnes publicitaires sont souvent gérées dans l’urgence, avec des promotions à activer et des leads à traiter. Dans l’éducation et la finance, les équipes ont des pages institutionnelles et des comptes publicitaires qui doivent rester en ligne, ce qui rend les messages « action requise » particulièrement efficaces.

Un analyste sécurité que j’appelle Marc, côté opérations email, résume le problème sans détour, « quand ça arrive depuis un domaine que tes outils ont déjà classé comme ‘confiant’, tu as perdu une couche de défense. Et quand l’objet dit ‘Account Verification Required’, tu sais que quelqu’un va cliquer, surtout si l’entreprise dépend de Meta pour ses ventes. » La nuance, c’est que le volume ne dit pas tout, une seule compromission de compte publicitaire peut coûter beaucoup plus cher qu’une vague de spam classique.

Les invitations Meta Business détournées pour contourner les filtres

Le mécanisme décrit repose sur un détournement d’une fonctionnalité légitime, l’invitation à rejoindre une page, un portefeuille business ou un rôle dans un environnement Business Suite ou Business Manager. Les attaquants créent des entités qui « sonnent » Meta, puis déclenchent l’envoi d’une invitation via le système officiel. Pour la victime, l’email a l’apparence d’une notification standard, même structure, mêmes codes visuels, même ton administratif.

Là où ça devient piégeux, c’est l’origine technique. Les messages peuvent provenir d’une infrastructure utilisée pour les notifications, avec des adresses de type business. facebook. com et l’infrastructure facebookmail. com. Dans une formation sécurité classique, on répète « vérifie le domaine ». Sauf que là, vérifier le domaine ne suffit plus, parce que le domaine est celui qu’on s’attend à voir. Marc le dit avec un agacement très compréhensible, « tu peux être prudent, et quand même te faire avoir, parce que le signal ‘expéditeur bizarre’ a disparu. »

Les chercheurs ont validé la faisabilité en test contrôlé. Ils ont créé une fausse page business avec un habillage proche d’une propriété Meta, puis utilisé la fonction d’invitation intégrée pour générer une notification. Le test confirme ce que les victimes voient en production, l’email a l’air « authentique » pour un humain, et il a aussi de bonnes chances d’être « acceptable » pour des contrôles automatiques qui se fient aux réputations de domaine et aux schémas habituels.

Ce point mérite une critique, et elle vise l’écosystème plus que l’utilisateur. On a beaucoup responsabilisé les équipes, « ne clique pas, vérifie l’expéditeur, méfie-toi des fautes ». Ici, les attaquants jouent sur une zone grise, ils n’ont pas besoin d’usurper l’expéditeur, ils utilisent un flux réel. De ce fait, la défense doit bouger, on ne peut plus se contenter d’un check-list de base, il faut regarder la destination finale, la cohérence de la demande, et les permissions sollicitées dans Meta.

Des liens de redirection Meta menant vers Vercel ou Netlify

Le cur de l’attaque se trouve dans le lien. Les emails intègrent un URL présenté comme une redirection ou une action Meta, mais qui envoie vers des pages de collecte d’identifiants hébergées sur des plateformes légitimes. Des cas observés renvoient vers des domaines en vercel. app, et d’autres vers des pages en netlify. app. C’est un choix rationnel côté attaquant, ces services sont courants, rapides à déployer, et leur réputation n’est pas celle d’un hébergeur « malware » évident.

Dans les exemples documentés, l’utilisateur pense confirmer un accès, accepter une invitation de partenaire, ou régler un problème de compte. Le lien peut aussi être maquillé derrière un intitulé qui évoque un programme, par exemple une invitation à un Agency Credit Program, ce qui parle immédiatement aux agences et aux indépendants qui gèrent des budgets publicitaires. Le piège, c’est que l’URL visible ou le texte du bouton semble cohérent, mais le domaine final n’a rien à voir avec Meta.

Les pages de phishing cherchent à voler des identifiants liés aux comptes business, et potentiellement d’autres informations sensibles selon les variantes. Une fois l’accès obtenu, l’attaquant peut prendre le contrôle d’actifs critiques, pages, comptes publicitaires, moyens de paiement, audiences. Même sans aller jusqu’au vol direct, il peut lancer des campagnes frauduleuses, changer des administrateurs, ou verrouiller l’accès légitime. Dans une PME, perdre l’accès au gestionnaire de pubs pendant 48 heures peut suffire à casser un cycle de ventes.

Marc insiste sur un point concret, « les gens voient Vercel ou Netlify et se disent ‘c’est du cloud, donc c’est ok’. C’est une erreur de réflexe. » La nuance, c’est qu’il ne s’agit pas de diaboliser ces plateformes, elles hébergent des produits sérieux. Mais pour la sécurité, ça signifie qu’un domaine ‘propre’ ne prouve rien, ce qui compte c’est l’alignement, pourquoi Meta te demanderait de te reconnecter sur un sous-domaine générique d’hébergement, au lieu d’un domaine Meta attendu.

Les objets « Account Verification Required » ciblent les équipes marketing

Le social engineering est calibré pour la pression. Les objets et formulations observés misent sur l’urgence, « Account Verification Required« , « invitation partenaire », ou des messages insinuant une action immédiate pour éviter une restriction. D’autres campagnes de phishing visant les comptes Meta, documentées séparément, utilisent des thèmes comme la violation de politique, le copyright, ou la suppression imminente d’une page. Le point commun, c’est de pousser à agir avant de réfléchir.

Ce ciblage colle au fonctionnement réel des équipes marketing. Dans beaucoup de structures, l’accès à Meta est partagé, une boîte « ads@ », un compte admin historique, un prestataire externe. Quand un message ressemble à une notification habituelle et arrive dans un flux déjà saturé, la personne qui traite peut cliquer juste pour « faire disparaître l’alerte ». Et si l’entreprise a déjà vécu des restrictions publicitaires, l’idée d’une vérification obligatoire paraît crédible.

Un témoignage public d’une professionnelle du secteur illustre le niveau de réalisme, elle explique avoir « presque cliqué » sur une invitation très convaincante, reçue via un domaine Meta attendu. Son réflexe de vérification du domaine ne l’a pas sauvée, et c’est une recherche du texte exact dans un moteur qui a déclenché l’alerte. Ce détail compte, parce qu’il montre une défense pragmatique, quand quelque chose sonne faux, copier-coller une phrase de l’email peut révéler qu’il circule déjà dans des analyses de chercheurs.

Il y a une nuance à garder en tête, toutes les entreprises ne sont pas égales. Les grandes structures ont souvent des passerelles email plus strictes, des procédures de validation, et des rôles séparés. Les SMB ciblées, elles, ont des équipes réduites, parfois une seule personne pour gérer Meta Ads, le site et le CRM. De plus, elles vivent dans les notifications, donc une fausse alerte « bien faite » a statistiquement plus de chances de tomber au bon moment.

Mesures immédiates pour sécuriser Meta Business et limiter l’impact

Premier réflexe, traiter ces emails comme des demandes d’accès à un actif critique. Si une invitation arrive, ne clique pas depuis l’email. Ouvre un navigateur, tape l’adresse officielle, connecte-toi, puis vérifie dans l’interface Meta Business si une invitation existe et de qui elle vient. Ça paraît basique, mais c’est une barrière très efficace contre les liens qui redirigent vers des pages en vercel. app ou netlify. app.

Deuxième réflexe, regarder la destination finale du lien, pas seulement l’expéditeur. Dans cette campagne, l’expéditeur peut sembler irréprochable. Ce qui trahit l’attaque, c’est le domaine de destination, par exemple une URL qui ressemble à Meta mais qui ne l’est pas, ou un hébergement générique. Dans une équipe, ça se transforme en règle opérationnelle, « si le domaine n’est pas clairement Meta, on n’entre aucun identifiant, point. » Marc le formule plus sec, « un login Meta hors Meta, c’est non. »

Troisième axe, limiter les dégâts si un compte est compromis. Réduis le nombre d’admins, utilise des rôles adaptés, et surveille les changements, nouveaux administrateurs, nouveaux partenaires, créations de campagnes inattendues. Les campagnes orientées business accounts peuvent viser le lancement de publicités frauduleuses ou la prise de contrôle des pages. Même si l’article de recherche met l’accent sur l’accès aux identifiants, la conséquence pratique, c’est une surface d’abus très large une fois l’accès obtenu.

Dernier point, ne pas surestimer la protection par MFA. Des analyses sur des campagnes proches évoquent des chaînes d’attaque capables de contourner des protections, ou au minimum de collecter suffisamment d’informations pour faciliter une prise de contrôle. La défense doit être multicouche, sensibilisation ciblée pour les équipes ads, procédures de validation, et alertes internes quand une invitation ou un changement de portefeuille apparaît. L’évolution reste incertaine sur la vitesse à laquelle ces détournements seront neutralisés, mais les entreprises ont intérêt à durcir leurs pratiques dès maintenant.