Phishing Crédit Agricole dopé à l'IA : la leçon pour les PME lyonnaises

912 personnes ont donné leurs identifiants bancaires. 83 ont carrément viré de l'argent aux escrocs. Le tout en croyant parler à leur banque. C'est le bilan d'une campagne de phishing usurpant le Crédit Agricole, mise au jour le 19 juin par les chercheurs de Cybernews.

Ce qui rend cette affaire intéressante pour vous, dirigeant ou responsable d'une PME de la métropole, ce n'est pas le montant volé. C'est la méthode. Les attaquants n'ont pas piraté la banque. Ils ont exploité des failles chez ses fournisseurs et automatisé leur reconnaissance à grande échelle. Exactement le genre de chaîne dans laquelle votre entreprise s'insère aussi.

Ce qui s'est vraiment passé

Cybernews est tombé sur un serveur laissé accessible publiquement. Ce serveur pilotait toute l'opération. En clair, les chercheurs ont pu observer la machine de guerre des fraudeurs de l'intérieur.

Premier point à comprendre : les systèmes du Crédit Agricole n'ont pas été touchés. La banque le précise, et c'est vérifiable. La fraude reposait sur une usurpation d'identité montée entièrement à l'extérieur de ses infrastructures. Le groupe rappelle aussi qu'aucun conseiller ne demande jamais de mot de passe ou de code de validation par téléphone. Retenez cette phrase, elle va resservir.

Le Crédit Agricole n'était que le déguisement. La cible réelle, c'était ses clients. Et la vraie victime technique, c'était une série d'entreprises tierces dont les clés d'accès ont été volées.

Le mode opératoire, étape par étape

1. Voler l'infrastructure des autres

Les attaquants ont cherché des fichiers de configuration, des sauvegardes de bases de données et des fichiers d'échange contenant des clés d'accès aux services d'envoi d'e-mails SendGrid et Amazon SES. Ces services, ce sont ceux que des entreprises tout à fait légitimes utilisent pour envoyer leurs factures ou leurs notifications.

Résultat : des centaines de milliers de clés d'envoi détournées. Pas les leurs. Celles d'entreprises qui les avaient mal protégées.

2. Envoyer en masse sans se faire bloquer

Avec ces clés légitimes, les fraudeurs ont expédié environ 7 000 messages piégés par jour. L'intérêt d'utiliser des clés volées mais valides : les filtres antispam laissent passer. L'email part d'une infrastructure ayant bonne réputation. Techniquement, il est propre.

3. Le prétexte

Les messages, aux couleurs du Crédit Agricole, invitaient à renouveler l'enregistrement d'un appareil de confiance, sous peine de perdre l'accès au compte. Le lien menait vers un faux formulaire copiant fidèlement l'interface du site officiel. C'est là que 912 personnes ont saisi leurs identifiants.

4. La collecte, pas l'exploitation immédiate

Ici, la campagne se distingue d'une fraude classique. Les identifiants volés n'ont pas été utilisés tout de suite. Les attaquants ont d'abord enrichi chaque profil : solde du compte, agence de rattachement, nom du conseiller. Ils construisaient un dossier.

5. Le coup de fil

C'est la phase qui rapporte. Armés du nom de l'agence, du nom du conseiller et du solde, les escrocs ont appelé leurs victimes. Comme les chercheurs le résument, la principale façon de gagner de l'argent consistait à appeler les gens et à utiliser l'ingénierie sociale pour les pousser à payer un faux service.

Mettez-vous à la place de la victime. On vous appelle, on connaît votre agence, votre conseiller, votre solde. Difficile de douter. C'est ce qui a conduit 83 personnes à verser de l'argent directement.

Où l'IA et l'automatisation entrent en scène

Le point le plus inquiétant n'est pas le faux formulaire. C'est la reconnaissance. Les attaquants partaient d'une liste de 220 000 adresses IP connues pour héberger des sites web. Puis ils cherchaient des adresses IP dans le même sous-réseau pour découvrir 250 000 nouvelles cibles.

Ensuite, ils reliaient ces adresses aux noms de domaine via des recherches DNS et les journaux de transparence des certificats SSL, avant d'enrichir le tout avec le top 1 million des domaines mondiaux. En clair : ils cartographiaient l'infrastructure web pour déduire qui parle à qui, et où trouver des clés mal rangées.

Cette échelle-là, un attaquant isolé ne l'atteint pas à la main. C'est de l'automatisation industrielle de la reconnaissance. Le phishing artisanal, avec sa faute d'orthographe et son logo pixelisé, appartient au passé. Deux mois avant cette affaire, la Banque centrale européenne alertait déjà sur les risques de cybersécurité que révèlent les derniers modèles d'IA. Nous y sommes.

Pour aller plus loin sur cette logique d'attaques automatisées, on en parle dans notre article sur les cyberattaques autonomes par IA et ce que les entreprises de la région doivent anticiper.

Pourquoi ça vous concerne, même si vous n'êtes pas une banque

Vous n'avez pas 21 millions de clients ni 500 millions d'euros à investir dans l'IA. Justement. Dans cette affaire, ce ne sont pas les gros qui ont été percés, mais les fournisseurs. Des entreprises tierces qui avaient laissé traîner des clés d'API SendGrid ou Amazon SES dans une sauvegarde ou un fichier de config accessible.

Les chiffres français ne laissent pas de place au doute :

• Plus de 83 % des incidents traités par l'ANSSI auprès des PME et ETI démarrent par un email frauduleux.
• 42 % des cyberattaques réussissent en exploitant une erreur humaine.
• En 2025, les incidents touchant PME et ETI ont bondi de 30 %.
• 74 % des PME françaises sont sous le niveau de sécurité recommandé par l'ANSSI.

Ajoutez à ça la directive NIS2, qui élargit son périmètre aux entreprises de plus de 50 salariés ou dépassant 10 millions d'euros de chiffre d'affaires dans les secteurs couverts. Beaucoup de PME sous-traitantes d'acteurs essentiels sont concernées, y compris sur la sécurité de leur chaîne d'approvisionnement. Si vous fournissez un grand donneur d'ordres lyonnais, votre niveau de sécurité devient son problème, et inversement.

La check-list pour votre PME

Verrouiller ses propres clés et accès

• Activez l'authentification multifactorielle partout où c'est possible : messagerie, outils SaaS, accès aux serveurs.
• Sortez vos clés d'API des fichiers. Pas de clé SendGrid, Amazon SES ou autre dans une sauvegarde, un dépôt de code ou un fichier de config accessible. C'est exactement la faille exploitée ici.
• Faites tourner (roulez) vos clés régulièrement et révoquez celles dont vous ne vous servez plus.
• Vérifiez qu'aucun serveur n'est exposé publiquement par erreur. Le point de départ de toute cette affaire, c'était un serveur laissé ouvert.

Auditer ses prestataires

• Listez vos fournisseurs qui ont accès à vos données ou à vos systèmes : hébergeur, outil d'emailing, CRM, prestataire IA.
• Demandez-leur comment ils gèrent leurs secrets et leurs sauvegardes. Une entreprise sérieuse répond sans hésiter.
• Inscrivez ces exigences dans vos contrats. Nos articles sur les clauses à lire deux fois dans un contrat fournisseur d'IA et sur la grille de sélection d'un prestataire IA dans la région vous donnent une base.

Former ses équipes

• Expliquez la nouvelle réalité : un phishing ne se repère plus à ses fautes. Le lien peut sembler parfait, l'email peut venir d'une infrastructure propre.
• Ancrez le réflexe : aucun établissement bancaire ne demande de mot de passe ou de code par téléphone. Jamais.
• Prévenez sur la phase téléphonique. Un interlocuteur qui connaît vos infos internes n'est pas forcément légitime. Ces infos ont pu être collectées avant.
• Pour bâtir un socle simple, voyez notre programme minimum de formation à l'IA qui fonctionne.

Poser des procédures de vérification

• Instaurez une règle de double validation pour tout virement ou changement de coordonnées bancaires. Un appel de rappel sur un numéro connu, pas celui fourni dans l'email ou par l'appelant.
• Définissez un canal officiel unique pour les demandes sensibles, et affichez-le à vos équipes.
• En cas de doute, on ne clique pas, on ne paie pas, on vérifie. Perdre cinq minutes coûte moins cher qu'un virement.

Sauvegarder et surveiller

• Vos sauvegardes doivent être chiffrées et hors ligne. Une sauvegarde volée, c'est une mine d'or pour un attaquant, comme cette affaire le montre.
• Testez-les. Notre guide pour automatiser ses sauvegardes et vérifier qu'elles fonctionnent couvre le sujet.

Ce qu'il faut faire cette semaine

Ne repartez pas avec juste une bonne intention. Faites trois choses concrètes. Un : listez vos prestataires qui touchent à vos données et posez-leur la question des secrets. Deux : activez la double authentification là où elle manque encore. Trois : envoyez à vos équipes un rappel clair sur la règle du zéro mot de passe par téléphone et la double validation des virements.

L'affaire Crédit Agricole ne raconte pas l'histoire d'une banque piratée. Elle raconte celle d'une chaîne où un maillon mal sécurisé suffit à mettre tout le monde en danger. Dans la métropole lyonnaise, vous êtes probablement un maillon de plusieurs chaînes. Autant que ce soit un maillon solide.