Troy Hunt piégé par un phishing : quand le chasseur devient la proie

Même les plus grands experts en cybersécurité ne sont pas à l’abri d’un moment d’inattention. Troy Hunt, fondateur du site Have I Been Pwned, en a récemment fait la douloureuse expérience en se faisant pirater sa newsletter et 16 000 inscrits.

Il a bâti sa réputation sur la chasse aux fuites de données, aidant des millions d’internautes à savoir si leurs informations personnelles avaient été compromises. Pourtant, Troy Hunt, référence mondiale en cybersécurité s’est lui-même retrouvé victime d’un piratage. Dans un moment d’inattention, il a cliqué sur un lien frauduleux, donnant involontairement accès à son compte MailChimp à des hackers. Une attaque qui a permis à ces derniers d’exporter la liste complète des abonnés à sa newsletter, soit 16 000 personnes. Un comble pour celui dont le métier est justement de prévenir ce genre de mésaventures. C’est d’ailleurs pour cela aussi que le Service Veille ZATAZ ne propose aucun moteur de recherche et autres outils externes au SVZ. Notre contrôle est total pour protéger nos partenaires clients et notre travail. La newsletter de votre blog est, autre exemple, divisée en un certain nombre de lieux permettant sa diffusion. Comme le disait ma grand-mère, ne jamais mettre ses œufs dans le même panier !

C’est finalement arrivé : j’ai été victime d’une attaque de phishing. L’impact se limite à la liste de diffusion Mailchimp de mon blog. – Troy Hunt sur X.

Le piège s’est refermé rapidement. Troy Hunt a reçu un mail l’incitant à vérifier ses informations personnelles. Un message d’apparence banale, mais qui, derrière sa façade, dissimulait une tentative d’hameçonnage particulièrement bien ficelée. Hunt s’est connecté, a saisi son code 2FA, déclenchant sans le savoir la compromission de son compte. Ce n’est que lorsque le site s’est figé après la validation de la double authentification que l’expert a compris qu’il venait de se faire piéger. Malgré une réaction rapide — changement immédiat du mot de passe et tentative de verrouillage de son compte — le mal était déjà fait. Quelques minutes plus tard, un mail de confirmation l’informait que sa liste de diffusion, comprenant près de 16 000 adresses électroniques, avait été exportée. Autant dire que les adresses présentes, sensibles, risquent de finir sur le darkweb à vitesse grand V.

Service de Veille ZATAZ – 96% de satisfaction

« Même les meilleurs peuvent se faire avoir »

Ce sont les propres mots de Troy Hunt, partagés sur son compte X (anciennement Twitter), lorsqu’il a décidé de relater publiquement l’incident. Son objectif : montrer que personne n’est infaillible. Si lui, spécialiste mondial de la cybersécurité a pu tomber dans le piège d’un hameçonnage, cela peut arriver à n’importe qui.

Cette fuite soulève une question de fond : à quel point pouvons-nous réellement nous protéger dans un écosystème numérique toujours plus complexe et hostile ? L’attaque dont Hunt a été victime n’avait rien d’innovant techniquement. Aucun malware sophistiqué, aucun outil de pénétration avancé. Juste un simple courriel, bien rédigé, avec un lien vers un faux site suffisamment convaincant pour tromper un professionnel aguerri. Ce type d’attaque est devenu d’autant plus dangereux que les pirates perfectionnent constamment leur ingénierie sociale, rendant les tentatives de phishing toujours plus crédibles comme j’ai pu vous le montrer dans l’émission ZATAZ Live sur Twitch.

Le service compromis n’est pas anodin. MailChimp, utilisé pour gérer sa newsletter, contient les adresses de milliers de personnes abonnées. Même si aucune information sensible n’a été divulguée — pas de mots de passe ou de données personnelles détaillées — la simple diffusion de ces adresses constitue une fuite. Ces utilisateurs pourraient désormais être exposés à des campagnes de phishing ciblées ou à du spam, puisque leurs adresses circulent potentiellement entre les mains de cybercriminels.

Hunt a toutefois pris soin d’avertir immédiatement les abonnés concernés. Un courriel de notification a été envoyé à chacun d’entre eux, expliquant l’incident et les incitant à redoubler de vigilance dans les jours à venir.

Ce n’est d’ailleurs pas la première fois que des experts en cybersécurité sont victimes d’attaques. En 2022, plusieurs employés de LastPass, un gestionnaire de mots de passe, avaient vu leurs ordinateurs infectés suite à un piratage ciblé. Plus récemment, un chercheur en sécurité chez Microsoft avait reconnu s’être fait subtiliser des identifiants via une fausse page d’accès à Teams. Des incidents qui montrent bien que l’erreur humaine reste le maillon faible de la cybersécurité. Le Social Engineering est la reine des hacks comme je peux le démontrer lors de mes cours et conférences sur le sujet.

Contrairement aux failles logicielles qui peuvent être patchées, l’ingénierie sociale repose sur l’exploitation de la confiance, de la distraction ou du stress. Et c’est précisément ce que le message piégé adressé à Troy Hunt a su utiliser. Il jouait sur l’urgence, une pratique classique des attaquants : faire croire à un besoin immédiat de vérification, afin de court-circuiter l’esprit critique de la cible.

Pour les utilisateurs comme pour les entreprises, cet incident est un rappel brutal qu’aucune technologie, aussi avancée soit-elle, ne peut totalement prévenir ce type d’erreur humaine. Les mécanismes de double authentification, souvent présentés comme un rempart essentiel, n’ont ici servi à rien. Car une fois le code 2FA saisi sur un faux site, les pirates ont pu le récupérer en temps réel et s’en servir aussitôt. La technique dite du « Allô » est un parfait exemple présenté ici. Le real-time phishing, l’hameçonnage en temps réel, une méthode de plus en plus répandue. C’est d’ailleurs pour cela que le Service veille de ZATAZ, mais aussi l’ensemble des services exploités par votre serviteur se font, depuis des années, via des clés physiques de type Yupikey, Google, Etc.

En fin de compte, cette erreur est un avertissement, une piqûre de rappel et, paradoxalement, une forme d’enseignement précieux. Si un expert comme lui peut tomber dans le piège, alors il est temps, pour chacun, de se demander : suis-je vraiment prêt à faire face à la prochaine attaque ? N’hésitez pas à contacter le Service Veille ZATAZ pour mettre sous veille les pirates et le darkweb pour vous sécuriser de leurs malveillances.

Vous voulez suivre les dernières actualités sur la cybersécurité ? Pour rester informé sur les enjeux de cybersécurité, abonnez-vous à la newsletter de ZATAZ. Rejoignez également notre groupe WhatsApp et nos réseaux sociaux pour accéder à des informations exclusives, des alertes en temps réel et des conseils pratiques pour protéger vos données.