Dans l’Ombre : des hackers exploitent le créateur d’applications IA de Bubble pour détourner des comptes Microsoft

Tout a commencé par un lien - une invitation apparemment inoffensive à se connecter à un compte Microsoft. Mais derrière cette façade innocente se cachait une nouvelle génération d’attaques de phishing, qui s’appuie sur la puissance de l’intelligence artificielle et des créateurs d’applications no-code pour déjouer même les défenses de sécurité les plus vigilantes. À mesure que les cybercriminels transforment des plateformes de confiance en complices involontaires, la frontière entre le sûr et le dangereux devient dangereusement mince.

Anatomie d’un braquage de phishing moderne

Dans la course effrénée entre cybercriminels et défenseurs, l’innovation est souvent l’arme de choix. Dernier rebondissement : des hackers ont détourné Bubble, un créateur d’applications no-code alimenté par l’IA, pour orchestrer des campagnes de phishing sophistiquées visant les détenteurs de comptes Microsoft. Parce que Bubble héberge les applications créées par les utilisateurs sur son propre domaine de confiance *.bubble.io, la plupart des systèmes de sécurité des emails valident ces liens, permettant aux sites malveillants de passer inaperçus.

Selon les chercheurs en sécurité de Kaspersky, les attaquants exploitent l’IA de Bubble pour générer des applications web complexes servant de pièges. Ces applications usurpent souvent les portails de connexion Microsoft, parfois renforcés par une couche supplémentaire de légitimité - une vérification Cloudflare. Les utilisateurs, rassurés par une marque familière et une adresse web de confiance, sont invités à saisir leurs identifiants. Une fois entrés, ces identifiants sont discrètement transmis à l’attaquant, exposant potentiellement emails, calendriers et données professionnelles sensibles liées aux comptes Microsoft 365.

Ce qui rend ces attaques particulièrement insidieuses, c’est la technologie elle-même. L’approche no-code de Bubble produit d’énormes paquets opaques de JavaScript et utilise des structures Shadow DOM isolées. Pour les analystes humains comme pour les outils de sécurité automatisés, décrypter ce code représente un défi de taille. « Même pour un expert, il est difficile de comprendre ce qui se passe au premier coup d’œil », note Kaspersky. Les détecteurs automatisés, dépassés par la complexité, classent fréquemment ces sites comme bénins.

Les implications dépassent une simple campagne. Les experts avertissent que cette méthode - l’abus de plateformes légitimes et pilotées par l’IA pour le phishing - pourrait bientôt être intégrée dans les kits de phishing-as-a-service (PhaaS). Ces kits proposent déjà des fonctionnalités comme le vol de cookies de session, des tactiques adversary-in-the-middle pour contourner l’authentification à deux facteurs, et des leurres générés par IA. Ajouter à l’arsenal des applications de phishing furtives hébergées sur des plateformes de confiance pourrait rendre la détection encore plus difficile, notamment pour les cybercriminels moins expérimentés achetant ces services clés en main.

BleepingComputer a contacté Bubble pour un commentaire sur l’abus de sa plateforme, mais à la date de publication, l’entreprise n’a pas encore répondu ni annoncé de nouvelles mesures anti-abus.

Perspectives

Cette nouvelle vague d’attaques rappelle brutalement que, à mesure que les outils numériques deviennent plus puissants et accessibles, les tactiques de ceux qui cherchent à les exploiter évoluent aussi. Organisations et particuliers doivent rester vigilants - non seulement face aux emails suspects, mais aussi face à l’évolution des plateformes susceptibles d’être détournées. À l’ère de l’IA, la confiance dans l’infrastructure numérique doit être constamment réévaluée.

WIKICROOK

• No-code : L’intégration no-code permet aux utilisateurs de connecter des systèmes logiciels via des interfaces visuelles, automatisant et partageant des données sans écrire de code personnalisé.
• Phishing : Le phishing est une cybercriminalité où des attaquants envoient de faux messages pour inciter les utilisateurs à révéler des données sensibles ou à cliquer sur des liens malveillants.
• Shadow DOM : Le Shadow DOM encapsule la structure et le style des composants web, les isolant de la page principale, ce qui peut renforcer la sécurité mais aussi masquer du code malveillant.
• Phishing : Le phishing est une cybercriminalité où des attaquants envoient de faux messages pour inciter les utilisateurs à révéler des données sensibles ou à cliquer sur des liens malveillants.
• Adversaire : Un adversaire est toute personne ou groupe cherchant à compromettre des systèmes informatiques ou des données, souvent à des fins malveillantes comme le vol ou la perturbation.