Faux mails Interpol : le rançongiciel qui vise directement les PME

Le 1er juillet 2026, Bitdefender a décrit une campagne de rançongiciel qui cible spécifiquement les petites et moyennes entreprises, avec un habillage inhabituel : l'usurpation d'Interpol. Le message électronique prévient le destinataire qu'Interpol aurait observé une activité suspecte impliquant des comptes, systèmes ou services associés à son organisation. Le ton est officiel, alarmant, et joue sur la peur d'une enquête judiciaire. C'est précisément le levier psychologique qui pousse un dirigeant de PME, sans équipe de sécurité dédiée, à cliquer sans réfléchir.

Cette campagne mérite l'attention parce qu'elle rompt avec le schéma habituel du rançongiciel de masse. Pas d'exploitation de vulnérabilité, pas de courtier d'accès, pas de mouvement latéral sophistiqué. Juste un courriel bien tourné, un service de partage légitime détourné, et un utilisateur qui exécute lui-même la charge. Une chaîne courte, peu coûteuse à opérer, et taillée pour les organisations qui n'ont pas les moyens de la disséquer.

La chaîne d'infection, étape par étape

Le message ne contient pas de pièce jointe piégée, ce qui lui permet de franchir la plupart des filtres. Il pointe vers un lien Proton Drive, un service de stockage chiffré parfaitement légitime, où les opérateurs ont déposé ce qu'ils présentent comme les preuves de l'enquête, y compris de prétendues vidéos. C'est la technique T1566.002 (Phishing: Spearphishing Link).

Le fichier téléchargé est une archive, souvent imbriquée dans plusieurs niveaux d'archives, dont le mot de passe est fourni dans le corps du courriel. Ce chiffrement volontaire est un contournement de bac à sable : l'analyseur automatique ne peut pas ouvrir l'archive sans le mot de passe, et laisse donc passer le contenu. À l'intérieur se trouve un exécutable déguisé en fichier vidéo, typiquement avec une double extension du type preuves.mp4.exe, la technique T1036.008 (Masquerading: Masquerade File Type). L'utilisateur croit ouvrir une vidéo, il lance le chiffreur, référencé T1204.002 puis T1486 (Data Encrypted for Impact).

Le rançongiciel lui-même est rudimentaire. Bitdefender note qu'il contient des valeurs codées en dur, dont le mot de passe utilisé pour le chiffrement et le déchiffrement, et qu'il lui manque la plupart des fonctions des grandes opérations. Les victimes sont invitées à contacter les attaquants via le canal de discussion Tox, et aucun montant de rançon n'est annoncé à l'avance. Les secteurs observés incluent l'agroalimentaire, les services juridiques, la pharmacie, les médias, la technologie et la finance.

Détecter l'exécution, pas seulement le mail

Le courriel est difficile à bloquer de façon fiable car il n'embarque aucun contenu malveillant, seulement un lien vers un service légitime. Le point de détection le plus robuste se situe au moment de l'exécution, sur le poste. Trois signaux comportementaux se combinent : un exécutable lancé depuis un répertoire d'extraction d'archive, un processus parent qui est un client de messagerie ou un gestionnaire d'archives, et une double extension trompeuse.

Voici une règle Sigma qui matérialise ce schéma :

title: Executable lance depuis un dossier d extraction avec double extension video
id: 9a4f1c73-2e6b-48d1-b0a7-3f8c5d1e2b90
status: experimental
description: >
  Detecte un processus lance depuis un repertoire temporaire d extraction,
  portant une double extension de type video, schema du faux mail Interpol.
references:
  - https://www.bitdefender.com/en-us/blog/hotforsecurity/fake-interpol-emails-serve-ransomware
logsource:
  category: process_creation
  product: windows
detection:
  selection_path:
    Image|contains:
      - '\Temp\'
      - '\Downloads\'
      - '\AppData\Local\Temp\'
  selection_double_ext:
    Image|contains:
      - '.mp4.exe'
      - '.avi.exe'
      - '.mov.exe'
      - '.pdf.exe'
  selection_parent:
    ParentImage|endswith:
      - '\outlook.exe'
      - '\thunderbird.exe'
      - '\7zFM.exe'
      - '\winrar.exe'
      - '\explorer.exe'
  condition: selection_double_ext and (selection_path or selection_parent)
falsepositives:
  - Tres rare, les doubles extensions executables legitimes sont exceptionnelles
level: high
tags:
  - attack.execution
  - attack.t1204.002
  - attack.t1036.008

Les indicateurs à surveiller côté réseau

Comme le vecteur passe par un service de partage légitime, la détection réseau ne peut pas simplement bloquer un domaine malveillant. En revanche, plusieurs indicateurs de comportement méritent une alerte : un téléchargement d'archive depuis un lien Proton Drive reçu par courriel non sollicité, une résolution ou une connexion vers le réseau Tox depuis un poste bureautique, qui n'a aucune raison légitime de communiquer avec ce protocole de messagerie pair à pair, et l'apparition d'extensions de fichiers chiffrés inhabituelles sur les partages. Ces indicateurs comportementaux, corrélés au signal d'exécution ci-dessus, transforment une alerte isolée en une chaîne de détection lisible.

Le réflexe le plus efficace reste humain

Aucune autorité de police, Interpol comprise, ne notifie une entreprise d'une enquête par un courriel comportant un lien de téléchargement protégé par mot de passe. Ce simple fait, transmis aux équipes, désamorce l'essentiel de la campagne. Interpol communique avec les autorités nationales, jamais directement avec une PME par un lien Proton Drive. La double extension et le mot de passe d'archive fourni dans le message sont deux autres signaux qu'un utilisateur formé repère immédiatement.

La détection de ce type de campagne opportuniste repose sur la corrélation d'indicateurs frais : liens de partage abusés, protocoles de contact atypiques, schémas de fichiers déguisés. C'est ce que fournit le feed IOC ThreatClaw, un flux d'indicateurs qualifiés et actualisés, prêt à alimenter votre SIEM ou votre pare-feu pour couper la chaîne avant le chiffrement.