Qu'est-ce que le callback phishing ?

Le callback phishing (ou hameçonnage par rappel) est une attaque d'ingénierie sociale dans laquelle un leurre, généralement un e-mail, pousse la victime à appeler un numéro de téléphone plutôt que de cliquer sur un lien ou d'ouvrir une pièce jointe. Quand la victime appelle, un attaquant se faisant passer pour un agent d'assistance d'une marque de confiance utilise une conversation scriptée pour soutirer des identifiants ou des mots de passe à usage unique (OTP), obtenir un paiement, ou convaincre la victime d'installer un logiciel d'accès à distance. Parce que l'e-mail ne contient aucun lien malveillant ni pièce jointe, seulement un numéro de téléphone, il contourne les filtres e-mail basés sur le contenu. C'est précisément ce qui rend la technique efficace. Le callback phishing est également connu sous le nom de Telephone-Oriented Attack Delivery (TOAD) et, sous sa forme originale, de BazarCall. Ce qui distingue le callback phishing du phishing ordinaire est le renversement de l'initiative : c'est la victime qui passe l'appel, si bien que l'interaction paraît volontaire et que sa méfiance est abaissée. Des groupes de rançongiciels l'ont adopté comme technique d'accès initial fiable, et il couvre désormais aussi bien les attaques en entreprise que la fraude aux particuliers. Cette page explique son fonctionnement, ses origines, les marques et outils exploités par les attaquants, ses différences avec le vishing et le smishing, et comment les organisations peuvent le détecter et s'en défendre.

Ce qu'il faut retenir

Le callback phishing remplace le clic par un appel. L'e-mail leurre ne contient qu'un numéro de téléphone, évitant ainsi les défenses e-mail basées sur les liens et pièces jointes.
La victime initie le contact, ce qui abaisse la méfiance. Contrairement au vishing, où l'attaquant appelle la victime, ici la victime compose le numéro de l'attaquant, rendant la conversation apparemment fiable et volontaire.
Il s'appelle aussi TOAD et BazarCall. Telephone-Oriented Attack Delivery est le nom technique ; BazarCall était la campagne de 2020–2021 qui l'a inauguré comme vecteur d'accès initial pour les rançongiciels.
Des groupes de rançongiciels l'utilisent. Ryuk, Conti et des groupes dissidents comme Luna Moth (Silent Ransom Group), Quantum et Royal ont eu recours au callback phishing pour l'accès initial, la livraison de malwares et l'extorsion.
La sensibilisation humaine est la première ligne de défense. Comme il n'y a rien de malveillant pour les filtres à détecter à la livraison, la capacité des employés à reconnaître l'attaque, les habitudes de vérification et la politique d'accès à distance constituent la première ligne.

Comment fonctionne le callback phishing

Une attaque de callback phishing se déroule en deux étapes, séparant délibérément le leurre (l'e-mail) de la charge utile (l'appel téléphonique) pour qu'aucun canal ne porte seul un signal d'alarme évident.

Étape 1 : Le leurre

La victime reçoit un e-mail qui ressemble à un avis de facturation ou de compte ordinaire : un abonnement sur le point d'être renouvelé automatiquement, une facture pour un achat qu'elle ne reconnaît pas, ou une alerte fraude. Le message usurpe l'identité d'une marque de confiance et crée une légère urgence, mais ne contient aucun lien malveillant ni malware, seulement un numéro à appeler « pour obtenir de l'aide » ou « pour annuler ». Certaines campagnes joignent un PDF d'apparence anodine (souvent généré via des plateformes de documents détournées) qui contient le numéro, ce qui explique pourquoi ces pièces jointes passent régulièrement les contrôles antivirus et sandbox. Le leurre peut aussi arriver par SMS, ou le numéro peut être planté sur des forums, de faux annuaires et des résultats de recherche pour que la victime croie l'avoir trouvé elle-même.

Étape 2 : L'appel

Quand la victime compose le numéro, un opérateur en direct répond en utilisant un script correspondant à la marque usurpée, souvent depuis un faux centre d'appels créé à cet effet. C'est là que la vraie attaque se produit. L'opérateur personnalise son discours, surmonte les objections et guide la victime à travers les étapes dont l'attaquant a besoin : lire un mot de passe à usage unique, confirmer des identifiants ou des coordonnées bancaires, ou, le résultat le plus dévastateur en entreprise, installer un outil d'accès à distance ou de supervision à distance (RMM) comme AnyDesk, GoTo ou SimpleHelp. Une fois connecté, l'attaquant peut prendre le contrôle de la machine, masquer l'écran pour dissimuler son activité, voler des données et déposer des malwares supplémentaires. Les attaquants utilisent généralement des numéros Voice over IP (VoIP), bon marché, anonymes et difficiles à tracer, qu'ils réutilisent seulement un ou deux jours avant de les remplacer.

Les origines du callback phishing : BazarCall et les rançongiciels

Le callback phishing a été inauguré par la campagne BazarCall, observée pour la première fois en 2020 et généralisée début 2021. Les opérateurs envoyaient des e-mails de renouvellement d'abonnement pour de faux produits antivirus ou logiciels et dirigeaient les victimes vers un numéro d'assistance pour annuler. L'opérateur téléphonique guidait ensuite la victime dans le téléchargement de BazarLoader (plus tard BazarBackdoor), un cheval de Troie d'accès à distance servant de tremplin pour les rançongiciels.

Le succès de BazarCall a créé un modèle adopté par plusieurs opérations de rançongiciels. Le groupe Ryuk a utilisé le callback phishing pour l'accès initial, Conti a hérité et industrialisé le manuel, et après la dissolution de Conti en 2022, la technique est passée à des groupes dissidents et successeurs, dont Luna Moth (également suivi sous le nom Silent Ransom Group), Quantum et Royal (Zeon), avec des opérations plus récentes comme 3AM qui continuent de l'utiliser. Les opérateurs de Royal se distinguaient notamment par l'envoi d'e-mails ne contenant qu'un numéro de téléphone à la place d'une charge utile traditionnelle. Selon les propres recherches en renseignement sur les menaces de Sekoia sur le paysage des rançongiciels, l'utilisation du callback phishing parmi les acteurs de rançongiciels a progressé d'environ 625 % au deuxième trimestre 2022 par rapport au premier trimestre 2021, et la technique n'a cessé de se professionnaliser depuis.

Pourquoi le callback phishing contourne les défenses traditionnelles

Le callback phishing est efficace pour des raisons structurelles, ce qui explique pourquoi ajouter plus de filtrage e-mail résout rarement le problème :

Aucun artefact malveillant à la livraison. L'e-mail leurre n'a aucun lien ni pièce jointe à analyser, donc la sécurité e-mail basée sur les signatures et la réputation n'a rien à signaler. La charge utile vit dans une conversation téléphonique qu'aucun outil e-mail ne peut voir.
Le changement de canal crée un angle mort. L'attaque passe de l'e-mail à la voix, et la plupart des piles de sécurité ne sont pas conçues pour corréler des signaux sur les deux canaux, si bien que la phase la plus dangereuse se déroule là où la surveillance est la plus faible.
Le contact initié par la victime désamorce la méfiance. Parce que la victime passe l'appel, elle croit déjà parler à une organisation légitime, et la méfiance habituelle envers les appels non sollicités ne s'applique pas.
L'ingénierie sociale en direct bat les contrôles statiques. Un vrai opérateur peut improviser, exercer une pression et de l'autorité, et s'adapter en temps réel (passer à un autre outil si la victime mentionne qu'elle utilise un Mac, par exemple), ce qu'aucune défense scriptée n'anticipe.
Le clonage vocal par IA monte la mise. Les attaquants utilisent de plus en plus des voix générées par IA pour paraître plus convaincants et même usurper l'identité de personnes spécifiques, rendant le canal vocal plus difficile à faire confiance.

Callback phishing vs vishing vs smishing

Ces techniques d'ingénierie sociale par téléphone et messagerie sont liées et souvent confondues, mais la direction du contact et le canal diffèrent de façon significative pour la défense.

Technique	Comment le contact s'établit	Caractéristique distinctive
Callback phishing (TOAD)	Un leurre (généralement un e-mail) pousse la victime à appeler l'attaquant.	La victime initie l'appel ; l'e-mail ne contient aucun lien ni pièce jointe, seulement un numéro.
Vishing	L'attaquant appelle la victime directement.	Appel vocal initié par l'attaquant, souvent avec un identifiant d'appelant usurpé.
Smishing	L'attaquant envoie un message texte (SMS).	Leurre par SMS, généralement avec un lien malveillant ou un numéro à contacter.

La distinction clé est qui appelle qui. Dans le vishing, l'attaquant appelle, si bien que la cible est sur ses gardes face à un appel non sollicité. Dans le callback phishing, la victime appelle, ce qui inverse la psychologie : la cible croit avoir initié une interaction d'assistance légitime et est bien plus susceptible d'obtempérer. Le callback phishing utilise souvent l'e-mail ou le SMS comme leurre et la voix comme charge utile, il chevauche donc vishing et smishing sans être identique à l'un ou l'autre.

Leurres courants, marques usurpées et exemples réels

Les leurres de callback phishing se concentrent autour d'événements de facturation et de compte crédibles. Le renseignement sur les menaces des campagnes récentes montre que les attaquants usurpent le plus souvent des marques grand public et entreprise bien connues, parmi lesquelles Microsoft, Norton LifeLock, PayPal, DocuSign, le Geek Squad de Best Buy et des logiciels de comptabilité comme QuickBooks. Les thèmes récurrents sont les renouvellements automatiques d'abonnement, les factures inattendues et les alertes antivirus ou fraude, tous choisis parce qu'un avis de renouvellement ou de débit ne semble pas immédiatement suspect dans une boîte de réception chargée.

Un exemple souvent cité illustre clairement le schéma : un dirigeant de la sécurité a reçu un e-mail usurpant QuickBooks avec un fichier joint et un numéro de téléphone ; aucun des 63 moteurs antivirus n'a signalé la pièce jointe, et quand il a appelé, l'opérateur a tenté de lui faire installer un logiciel d'accès à distance, passant immédiatement à un outil différent quand il a mentionné qu'il utilisait un Mac. Dans les attaques en entreprise, le même manuel monte vers le vol de données et les rançongiciels ; dans la fraude aux particuliers, il se termine généralement par des comptes vidés, des remboursements frauduleux ou des paiements en cartes-cadeaux.

Comment prévenir et détecter le callback phishing

Comme il n'y a aucun artefact malveillant à bloquer à la livraison, la défense repose sur les personnes, les processus et la détection post-compromission plutôt que sur le seul filtrage e-mail :

Former spécifiquement à cette technique. La formation générale au phishing ne couvre pas le TOAD. Apprendre aux employés qu'un e-mail de facturation ne contenant qu'un numéro de téléphone est un schéma d'attaque connu, et organiser des simulations de callback phishing, que des référentiels comme NIST SP 800-172 recommandent dans les programmes de sensibilisation à la sécurité.
Vérifier les numéros et demandes de façon indépendante. Ne jamais appeler un numéro figurant dans un e-mail inattendu ; chercher le vrai numéro d'assistance de l'organisation sur son site officiel. Traiter les numéros de téléphone trouvés dans les résultats de recherche avec suspicion, car les numéros d'arnaque sont délibérément positionnés pour remonter.
Établir une politique claire d'accès à distance. Fixer comme règle que l'informatique légitime ne demandera jamais à un employé d'installer un outil d'accès à distance via un appel que l'employé a lui-même passé. Cette seule politique déjoue le résultat en entreprise le plus dévastateur.
Surveiller les installations inattendues d'outils RMM. Des outils légitimes comme AnyDesk, GoTo et SimpleHelp sont régulièrement détournés ; leur apparition dans un contexte inhabituel est un signal de détection à haute valeur pour un SOC.
Vérifier l'identité hors bande et protéger les OTP. Confirmer tout appelant urgent via un canal séparé et de confiance avant d'agir, et ne jamais communiquer de mots de passe à usage unique. Le clonage vocal par IA rend la vérification hors bande indispensable.

Pour les particuliers, la recommandation est plus simple : ne pas appeler les numéros figurant dans des e-mails de facturation non sollicités, se méfier de l'urgence et des menaces, et si pris au piège, contacter immédiatement la vraie entreprise, changer les mots de passe et surveiller les comptes.

Éclairage expert : La détection doit aller au-delà de la boîte de réception

Le callback phishing est conçu pour être indétectable par les outils sur lesquels la plupart des organisations s'appuient à la livraison. Il n'y a pas d'URL à bloquer ni de pièce jointe à détonner, si bien que le leurre arrive souvent propre. Les opportunités de détection significatives ne se trouvent pas à la passerelle e-mail ; elles se trouvent plus tard, sur le terminal et dans le réseau, quand l'attaquant agit sur l'accès que la victime vient de lui donner.

C'est là que l'approche CTI de Sekoia est pertinente. Sekoia suit les groupes de rançongiciels qui opèrent des campagnes de callback phishing, et son équipe Threat Detection & Research (TDR) interne a publié une analyse précoce de la croissance de cette technique parmi les acteurs de rançongiciels. Ce renseignement alimente directement la plateforme. Plutôt que d'essayer de détecter un leurre sans charge utile, la plateforme AI SOC Sekoia se concentre sur les conséquences observables : l'installation ou l'exécution soudaine d'un outil d'accès à distance ou RMM, les comportements anormaux de session à distance, et les malwares supplémentaires et mouvements latéraux qu'un appel réussi permet. Le contenu de détection est mappé à MITRE ATT&CK et enrichi par du renseignement natif sur les menaces, de sorte qu'une exécution inattendue d'AnyDesk ou SimpleHelp remonte comme une alerte contextualisée plutôt que comme du bruit inexpliqué. Unifier la télémétrie des terminaux, du réseau et des identités dans une seule plateforme ferme l'angle mort e-mail-vers-voix-vers-terminal qui permet au callback phishing de réussir.

Traitez le callback phishing comme un problème à deux fronts. Réduisez le taux d'échec humain au moment de l'appel par la formation et une politique claire, et assurez-vous que votre stratégie de détection part du principe que certains appels réussiront, pour que l'activité post-compromission soit détectée rapidement. En tant qu'éditeur européen avec une posture de souveraineté des données et un CTI natif, Sekoia est conçu pour ce second front.