Substitution inaperçue d'adresses Bitcoin, fuite d'un fabricant de jouets pour adultes et autres événements de cybersécurité

Nous avons rassemblé cette semaine les actualités les plus importantes du monde de la cybersécurité.

Les pirates ont mis au point un plan pour usurper discrètement les adresses Bitcoin

Les attaquants ont commencé à remplacer discrètement les adresses Bitcoin sous prétexte d’un accord d’arbitrage de crypto-monnaie rentable. Le stratagème a été découvert par les spécialistes de BleepingComputer.

La campagne repose sur la promesse d’énormes profits provenant d’une prétendue « vulnérabilité d’arbitrage » trouvée sur la plateforme d’échange de crypto-monnaie Swapzone. En réalité, les pirates exécutent du code malveillant qui modifie le processus d'échange directement dans le navigateur de la victime.

Les attaques de type ClickFix ciblent généralement le système d'exploitation, incitant les utilisateurs à exécuter des commandes dans PowerShell pour « réparer » Windows, ce qui entraîne l'installation de voleurs ou de ransomwares. Dans ce cas, la cible était une session de navigateur spécifique.

Selon les médias, il s'agit de l'un des premiers cas enregistrés d'utilisation de la mécanique ClickFix pour manipuler des pages Web dans le but de voler directement des crypto-monnaies.

Pour promouvoir la campagne frauduleuse, les pirates informatiques laissent des commentaires sur diverses publications du populaire service de stockage de texte (lignes de code) Pastebin.

Ils annoncent une « fuite de documentation de piratage » qui est censée vous permettre de gagner 13 000 $ en deux jours, et attachent un lien vers la ressource. Un « guide » dans Google Docs décrit un système visant à surcharger certaines paires BTC.

Les observations de BleepingComputer ont montré que le document était constamment consulté par une à cinq personnes à la fois, confirmant l'activité du stratagème.

Le faux manuel indique à l'utilisateur de :

1. Accédez au site Web Swapzone.
2. Copiez le code JavaScript à partir d'une ressource tierce.
3. Revenez dans l'onglet Swapzone, saisissez javascript : dans la barre d'adresse, collez le code copié et appuyez sur Entrée.

Cette méthode utilise la fonctionnalité javascript:URI du navigateur, qui permet d'exécuter du code dans le contexte du site ouvert. L'analyse a montré que le script principal charge une deuxième partie très alambiquée du chargement. Il est intégré à la page Swapzone, remplaçant les scripts Next.js légitimes chargés de mener les transactions :

• changement d'adresse. Le script malveillant contient une liste d’adresses Bitcoin d’attaquants. Il en substitue un à la place de l'adresse de dépôt réelle générée par l'échange ;
• tromperie visuelle. Le code modifie les taux de change affichés et les montants des paiements à l'écran pour donner à l'utilisateur l'impression que le « système d'arbitrage » fonctionne réellement ;
• résultat. La victime voit l'interface familière d'un service légitime, mais envoie de l'argent vers le portefeuille Bitcoin du pirate informatique.

Nouveau cheval de Troie pour Android déguisé en applications IPTV

Un nouveau malware Android usurpe l'identité d'une application IPTV pour voler les identités numériques et accéder aux comptes bancaires des victimes. Cela a été rapporté par les chercheurs en cybersécurité ThreatFabric.

Le virus Massiv utilise la superposition de fenêtres et l'enregistrement des frappes au clavier pour collecter des données sensibles. Il peut également établir un contrôle à distance complet de l’appareil infecté.

Au cours de la campagne, Massiv a attaqué une application du gouvernement portugais associée à Chave Móvel Digital, un système national d'authentification et de signature numérique. Les données stockées dans ces services peuvent être utilisées pour contourner les procédures KYC, accéder aux comptes bancaires et à d'autres services en ligne gouvernementaux et privés.

Selon ThreatFabric, il y a eu des cas où des comptes bancaires et des services ont été ouverts au nom de la victime à son insu.

Massiv propose aux opérateurs deux modes de contrôle à distance :

• Streaming d'écran – utilise Android MediaProjection API diffuser ce qui se passe sur l'écran en temps réel ;
• Mode UI-tree – extraction de données structurées via le service d'accessibilité.

Le deuxième mode permet aux attaquants de voir le texte, les noms des éléments de l'interface et leurs coordonnées. Cela permet de cliquer sur des boutons et de modifier des champs de texte au nom de l'utilisateur. Plus important encore, cette méthode vous permet de contourner la protection contre les captures d'écran qui est souvent intégrée aux applications bancaires et financières.

Les chercheurs ont noté une tendance intéressante : au cours des huit derniers mois, l'utilisation d'applications IPTV comme « appât » pour infecter les appareils Android a fortement augmenté.

Ces applications violent souvent les droits d'auteur et sont donc introuvables sur Google Play. Les utilisateurs ont l'habitude de les télécharger sous forme de fichiers APK à partir de sources non officielles et de les installer manuellement.

Selon le rapport, la campagne s'adresse aux résidents d'Espagne, du Portugal, de France et de Turquie.

Les utilisateurs de Trezor et Ledger ont reçu des e-mails de phishing

Les utilisateurs de Trezor et Ledger ont commencé à recevoir régulièrement des lettres envoyées par des attaquants prétendument au nom de fabricants de portefeuilles cryptographiques matériels.

Selon le spécialiste de la cybersécurité Dmitry Smilyants, la lettre qu'il a reçue ressemblait à une notification officielle du département de sécurité de Trezor.

Sur le papier à en-tête, il était demandé au client de suivre une procédure obligatoire : scanner un code QR et effectuer une vérification sur un site Internet spécial avant une certaine date. En cas de non-respect, l'utilisateur était menacé de privation d'accès aux fonctions du portefeuille.

D'autres premiers cas de phishing prétendument émanant de représentants de Ledger ont fait surface dans les commentaires de la publication. Les deux lettres ont créé un sentiment d’urgence, poussant les victimes à agir immédiatement.

au moins, ils auraient pu travailler sur une meilleure page de phishing 😭😭

même des mots de départ en texte brut envoyés à l'API de télégramme…

trezor.authentification-check[.]io/noir/ pic.twitter.com/fa85203awR

– Qui a dit quoi ? (@g0njxa) 12 février 2026

Les codes QR des e-mails ont conduit à des sites Web malveillants imitant les pages officielles de configuration de Trezor et Ledger. Lors de la dernière étape, les utilisateurs étaient obligés de saisir une phrase de départ pour « confirmer la propriété de l’appareil ».

Le chercheur a surpris de grandes entreprises en train d'espionner les utilisateurs de Chrome via des extensions

Un chercheur sous le surnom de Q Continuum a découvert 287 extensions Chrome qui transfèrent toutes les données de l'historique de navigation à des sociétés tierces. Leur nombre total d'installations dépassait 37,4 millions.

À l'aide d'un système de test automatisé, le spécialiste a testé 32 000 plugins du Chrome Web Store. Ainsi, nous avons pu découvrir plus de 30 entreprises qui collectent des données.

L'analyste estime que les extensions qui offrent des outils pratiques et utiles demandent en réalité de manière déraisonnable l'accès à l'historique du navigateur. Certains d’entre eux chiffrent en outre les données, ce qui les rend difficiles à détecter.

Selon le spécialiste, une partie de la collecte des données est formellement précisée dans les politiques de confidentialité. Cependant, tous les utilisateurs n’y prêtent pas attention.

Le chercheur a accusé Similarweb, Semrush, Alibaba Group, ByteDance et Big Star Labs, une filiale de Similarweb, de collecter des données.

Les soupçons incluaient le personnalisateur de thème Stylish et les bloqueurs de publicités (Stands AdBlocker et Poper Blocker, CrxMouse), ainsi que l'extension de Similarweb lui-même (SimilarWeb : Website Traffic & SEO Checker).

Environ 20 millions d'installations sur 37,4 millions n'ont pas pu être reliées à des destinataires de données spécifiques.

La politique de confidentialité de Similarweb documente la collecte de données. La société affirme anonymiser les informations côté client, tout en notant que « certaines de ces données peuvent inclure des informations personnelles et sensibles en fonction des requêtes de recherche et du contenu consulté ».

Fuite des données des clients d'un fabricant de jouets pour adultes populaire

La société japonaise Tenga a envoyé des notifications à ses clients concernant une violation de la sécurité des données. TechCrunch le rapporte.

Selon le message, « une personne non autorisée a eu accès à la messagerie professionnelle d'un de nos employés », ce qui a permis au pirate informatique d'accéder au contenu des messages entrants. Cela lui a potentiellement permis de voir et de voler les noms des clients, les adresses e-mail et l’historique des communications, qui « pourraient inclure des détails sur les commandes ou les appels du service client ».

Le pirate informatique a également envoyé des messages indésirables à la liste de contacts de l'employé piraté, y compris aux clients de l'entreprise.

Après la publication de la nouvelle, un porte-parole de Tenga a déclaré à TechCrunch que, sur la base d'évaluations techniques, la fuite avait affecté « environ 600 personnes » aux États-Unis.

Tenga est un fournisseur mondial de produits pour adultes. Compte tenu de la nature des produits, les détails des commandes et les appels d'assistance sont susceptibles de contenir des informations personnelles que de nombreux clients préféreraient ne pas divulguer.

L'entreprise a pris un certain nombre de mesures de protection :

• réinitialiser les informations d'identification d'un employé piraté ;
• Mettre en œuvre une authentification multifacteur sur tous ses systèmes, une fonctionnalité de sécurité essentielle qui empêche l'accès aux comptes même avec un mot de passe volé.

Un représentant de l'entreprise a refusé de préciser si l'authentification à deux facteurs était activée sur le compte de messagerie avant le piratage.

L'Afrique arrête 651 suspects dans une opération de cybercriminalité

Les forces de l’ordre africaines ont arrêté 651 suspects et saisi plus de 4,3 millions de dollars dans le cadre d’une opération conjointe contre la fraude aux investissements. Interpol le rapporte.

Red Card 2.0 ciblait les groupes cybercriminels impliqués dans des pertes financières de plus de 45 millions de dollars. Les autorités de 16 pays ont saisi 2 341 appareils et bloqué 1 442 sites Web, domaines et serveurs malveillants.

Principaux résultats par pays :

• Nigeria. La police a démantelé un réseau de fraude aux investissements qui recrutait des jeunes pour mener des attaques de phishing, des vols d'identité et de faux projets d'investissement. Plus de 1 000 comptes frauduleux sur les réseaux sociaux ont été supprimés. Sont également arrêtés six membres de gangs qui ont utilisé les identifiants volés d'employés pour pirater un important fournisseur de télécommunications ;
• Kenya. 27 suspects ont été arrêtés au cours d'une enquête sur les activités de groupes qui, à travers les réseaux sociaux et les messageries instantanées, ont attiré les victimes vers des projets d'investissement fictifs ;
• Côte d'Ivoire. 58 personnes ont été arrêtées dans le cadre de la lutte contre les applications mobiles de microcrédit. Ils ont eu recours à des frais cachés et à des méthodes illégales de recouvrement de créances.

Également sur ForkLog :

• OpenAI a publié un benchmark pour évaluer la capacité des agents IA à pirater des contrats intelligents.
• Le codage Vibe via Claude Opus a conduit au piratage du projet Moonwell DeFi.
• Figure a admis la fuite des données personnelles des clients.
• La police sud-coréenne a perdu 22 BTC de son portefeuille froid.

Que lire ce week-end ?

Dans son roman False Blindness, le biologiste et écrivain canadien Peter Watts a proposé une hypothèse radicale : l'esprit peut être efficace sans conscience. Près de 20 ans après la publication du livre, cette thèse décrit avec précision l’IA générative.

Dans le nouveau matériel, ForkLog a découvert quelles erreurs nous commettons lors de l'humanisation des algorithmes.