Tentative de connexion - AppareiI BIoqué ##6700394523

Verdict

Arnaque de phishing usurpant Société Générale : expéditeur sur un domaine étranger (washnet.co.uk), homoglyphes dans le nom et l'objet, lien masqué via disq.us menant à un site allemand sans rapport avec la banque. Action immédiate : blocage des domaines et des URLs, recherche de clics et signalement.

Vecteur d’attaque

Phishing par usurpation de marque (Société Générale) avec incitation à cliquer sur un lien. Le message annonce une tentative de connexion sur un appareil non reconnu et pousse la victime à « accéder à ses comptes » via un lien. La chaîne de redirection passe par un service de redirection tiers (disq.us) avant d'atteindre une page hébergée sur un domaine allemand sans rapport avec la banque. Le but probable est de collecter des identifiants bancaires ou des données d'authentification sur une page imitant l'espace client. Le nom d'affichage et l'objet utilisent des homoglyphes (« I » majuscule à la place de « l ») pour tromper un lecteur superficiel.

Infrastructure

Expéditeur : domaine washnet.co.uk (TLD .co.uk, sans lien avec Société Générale, dont le domaine officiel est sg.fr). Redirection : disq.us, service de redirection de Disqus, abusé ici comme relais pour masquer l'URL finale et contourner les filtres basés sur la réputation. Destination finale : sous-domaine handwerkerheime.immobilienservice-notka.de, domaine enregistré en .de, nom thématique sans rapport avec une banque française (« Handwerkerheime » signifie « logements d'artisans »). Le chemin /fr laisse penser à une page localisée pour usurper une interface française. Le pied de page reprend les mentions légales réelles de Société Générale (adresse lyonnaise, ORIAS, ACPR) pour donner une apparence de légitimité. Hébergeur, date d'enregistrement et résolution IP non vérifiés dans ce rapport.

Signaux techniques

• Homoglyphe dans le nom d'affichage : « GénéraIe » avec un I majuscule à la place du l minuscule
• Homoglyphe dans l'objet : « AppareiI BIoqué » (I et I majuscules à la place de l)
• Domaine expéditeur sans lien avec Société Générale (washnet.co.uk au lieu de sg.fr)
• Lien masqué derrière un redirecteur tiers (disq.us) pour dissimuler la destination réelle
• Destination finale sur un domaine allemand sans rapport avec la banque, alors que le message est en français
• Chemin /fr sur un domaine étranger, indicateur de localisation factice
• Jeton aléatoire long dans l'URL, typique d'un suivi de cible
• Formule d'accroche générique (« Bonjour ») sans identification du destinataire
• Pression émotionnelle : tentative de connexion non reconnue, invitation à agir immédiatement
• Pied de page copié de la banque, sans cohérence avec le domaine expéditeur

Expéditeur et authentification

Adresse expéditrice

info@washnet[.]co[.]uk

Domaine expéditeur

washnet[.]co[.]uk

Domaine principal des liens

disq[.]us

SPF

réussi (pass)

DKIM

réussi (pass)

DMARC

réussi (pass)

Non disponible (message transféré). Les en-têtes SPF, DKIM et DMARC de l'expéditeur d'origine ne figurent pas dans le message soumis, et aucune conclusion n'est tirée de l'infrastructure du déclarant.

Indicateurs de compromission

Neutralisés (hxxp, [.]) pour éviter tout clic accidentel.

• washnet[.]co[.]uk (domaine expéditeur usurpé)
• info@washnet[.]co[.]uk (adresse expéditeur)
• Nom d'affichage : « Société GénéraIe » (homoglyphe I/l)
• disq[.]us (redirecteur)
• hxxps://disq[.]us/url?url=https%3A%2F%2Fhandwerkerheime[.]immobilienservice-notka[.]de%2Ffr%3Ae0RPyi_cSw820cmHPsf5529qT9c&cuid=3189088
• handwerkerheime[.]immobilienservice-notka[.]de (destination finale)
• immobilienservice-notka[.]de (domaine enregistrable)
• Chemin de phishing : /fr?e0RPyi_cSw820cmHPsf5529qT9c (jeton de suivi de la cible)
• Paramètre cuid=3189088 (identifiant de campagne probable)
• Objet : « Tentative de connexion - AppareiI BIoqué ##6700394523 » (référence de campagne probable)

Réputation des liens

• URLhaus : aucune menace connue
• AlienVault OTX : 1 indicateur(s) connu(s)

Recommandations techniques

1) Bloquer washnet.co.uk et immobilienservice-notka.de (et sous-domaines) au niveau passerelle mail et DNS/proxy. 2) Bloquer disq.us au niveau proxy si ce service n'est pas un usage métier, ou filtrer ses paramètres de redirection « url= ». 3) Ajouter une règle de détection des homoglyphes (I majuscule dans des noms de marque, Unicode mixte) sur le nom d'affichage et l'objet. 4) Rechercher dans les journaux de messagerie les envois vers d'autres destinataires avec le même objet, le même domaine ou le même jeton. 5) Vérifier si des utilisateurs ont cliqué (logs proxy/DNS) et réinitialiser les accès si nécessaire. 6) Signaler le domaine à Société Générale (service fraude/CERT), à l'hébergeur et au registrar du domaine .de, ainsi qu'à Disqus pour abus du redirecteur. 7) Rappeler aux collaborateurs que la banque ne demande jamais de se connecter via un lien reçu par e-mail.