En octobre 2024, un investisseur parisien perd l'accès à son compte Binance. Il reçoit un SMS d'alerte : quelqu'un vient de modifier son adresse e-mail de sécurité. Pourtant, il avait activé l'authentification à deux facteurs (MFA) depuis des mois. Tout s'est joué en moins de trois minutes, sans qu'il ne valide quoi que ce soit. Le criminel a utilisé Starkiller, un service de phishing spécialisé dans le contournement MFA, accessible sur Telegram pour 200 dollars par mois.
Cette affaire n'est pas isolée. Selon les données de Chainalysis pour 2024, 3,2 milliards de dollars ont été volés via des arnaques crypto, dont une part croissante liée à des attaques phishing MFA. Le problème ne vient plus des utilisateurs qui ne sécurisent pas leurs comptes. Il vient de l'industrialisation des services de rançon cybercriminels, transformant des méthodes autrefois réservées aux hackers expérimentés en outils accessibles à tous.
L'industrialisation du contournement MFA
L'authentification multifacteur semblait être la solution définitive. Un mot de passe, puis un code reçu par SMS ou généré par une application : deux barrières successives qui devaient protéger efficacement vos accès. Cette logique reste valable face aux attaques classiques par force brute ou aux fuites de bases de données. Mais elle s'effondre face à une nouvelle génération d'outils de phishing MFA bypass.
Starkiller, Evilginx, Modlishka : ces noms ne disent rien au grand public, mais ils sont devenus des références sur les forums clandestins. Ces plateformes fonctionnent sur un principe d'attaque par interception en temps réel, appelée man-in-the-middle. Concrètement, le criminel crée une copie parfaite de la page de connexion de votre plateforme d'échange (Binance, Kraken, Coinbase). Lorsque vous saisissez vos identifiants puis votre code MFA, le système transmet instantanément ces informations au véritable site tout en vous redirigeant. Vous êtes connecté, le criminel aussi. Le code MFA a été valide pendant quelques secondes, juste assez pour que l'attaquant récupère votre session authentifiée.
La différence avec les anciennes méthodes de phishing ? Autrefois, il fallait des compétences techniques solides pour créer ces pages piégées et gérer l'infrastructure serveur nécessaire. Aujourd'hui, Starkiller propose une interface clés en main. Vous choisissez la plateforme à cibler dans un menu déroulant, vous personnalisez le message d'appât, et le système génère automatiquement le lien piégé. Le service gère l'hébergement, les certificats SSL (qui donnent l'apparence d'un site sécurisé avec le cadenas vert), et même l'envoi automatisé des messages de phishing par e-mail ou SMS.
Un modèle économique de la cybercriminalité
Ces plateformes fonctionnent sur un modèle d'abonnement mensuel, entre 150 et 400 dollars selon les fonctionnalités. Certaines proposent même un support client, des tutoriels vidéo et des mises à jour régulières lorsque les plateformes d'échange modifient leurs interfaces de connexion. On observe une véritable économie de services de rançon cybercriminels, où la spécialisation technique devient un produit commercialisé.
Cette industrialisation a un impact direct : le nombre d'attaques explose car la barrière d'entrée technique disparaît. Un criminel sans connaissance informatique particulière peut désormais lancer des campagnes de phishing ciblées. Les forums clandestins regorgent de témoignages d'utilisateurs de Starkiller se vantant d'avoir compromis plusieurs dizaines de comptes en quelques semaines.
Les red flags qui doivent vous alerter
Face à cette menace, certains signaux doivent immédiatement attirer votre vigilance. Ces indicateurs ne garantissent pas une attaque en cours, mais ils justifient une vérification systématique avant toute action.
1. Les messages d'urgence liés à la sécurité de votre compte. Vous recevez un e-mail ou un SMS vous indiquant qu'une activité suspecte a été détectée et qu'il faut vérifier votre compte immédiatement. Le message contient un lien cliquable. Ce scénario représente 73 % des tentatives de phishing MFA recensées par le CERT-FR en 2024. Les plateformes légitimes vous envoient des alertes, mais elles ne demandent jamais de cliquer sur un lien pour résoudre le problème. Elles vous invitent à vous connecter vous-même via l'application ou le site officiel.
2. L'URL légèrement modifiée. Les criminels utilisent des noms de domaine très proches de l'original : binance-secure.com, kraken-verify.net, coinbase-support.org. Ces variations sont souvent indétectables à l'œil nu, surtout sur mobile où l'URL complète n'est pas toujours affichée. Certains services comme Starkiller automatisent l'achat de ces domaines et la génération de certificats SSL valides, rendant l'escroquerie encore plus crédible.
3. La demande de code MFA juste après la connexion. Si vous venez de vous connecter normalement à votre plateforme, qu'aucune action particulière n'a été initiée de votre côté, et que vous recevez soudainement une demande de validation MFA, stoppez tout. Ce scénario correspond typiquement à un criminel qui vient d'intercepter vos identifiants et tente de valider sa propre connexion en vous faisant croire à une vérification de routine.
4. Les pages de connexion qui vous redirigent plusieurs fois. Une victime décrit cette expérience : après avoir saisi ses identifiants et son code MFA, la page a affiché un message d'erreur générique («Connexion impossible, veuillez réessayer»), puis l'a redirigée vers la vraie page de connexion de Binance. Entre-temps, le criminel avait déjà récupéré la session authentifiée. Cette technique de redirection masque l'attaque en donnant l'impression d'un simple bug temporaire.
Que faire si vous êtes concerné
Si vous suspectez une compromission de vos identifiants ou si vous avez cliqué sur un lien douteux, la vitesse de réaction devient déterminante. Les criminels agissent très rapidement une fois la session récupérée, parfois en quelques minutes. La protection exchange nécessite des réflexes immédiats.
Action immédiate n° 1 : changez votre mot de passe depuis un appareil de confiance. N'utilisez pas l'appareil depuis lequel vous avez cliqué sur le lien suspect. Connectez-vous depuis un autre ordinateur ou un autre téléphone, directement via l'application officielle ou en tapant manuellement l'URL dans votre navigateur. Modifiez immédiatement votre mot de passe. Cela invalide toutes les sessions actives, y compris celle du criminel s'il n'a pas encore modifié les paramètres de sécurité.
Action immédiate n° 2 : révoquez toutes les sessions actives. La plupart des plateformes d'échange proposent une fonction «Déconnecter tous les appareils» dans les paramètres de sécurité. Activez-la systématiquement. Vérifiez également la liste des adresses IP récemment connectées : si vous repérez une localisation inhabituelle (connexion depuis un pays étranger alors que vous n'avez pas voyagé), documentez cette information.
Action immédiate n° 3 : vérifiez vos adresses de retrait préenregistrées. Les criminels ajoutent fréquemment leurs propres adresses de portefeuilles dans votre liste blanche de retrait, parfois en modifiant légèrement une adresse existante. Supprimez toute adresse que vous ne reconnaissez pas formellement. Si des retraits ont déjà été effectués, notez les adresses de destination et les montants exacts.
Action n° 4 : déposez plainte et signalez à PHAROS. Même si les chances de récupération sont faibles, la plainte officielle reste nécessaire. Elle constitue une preuve juridique en cas de litige avec votre plateforme ou votre assureur. Signalez également l'escroquerie sur la plateforme PHAROS (Plateforme d'Harmonisation, d'Analyse, de Recoupement et d'Orientation des Signalements), gérée par le Ministère de l'Intérieur. Ces signalements alimentent les bases de données des autorités et peuvent contribuer à identifier des réseaux criminels.
Action n° 5 : activez les whitelists de retrait et les délais de sécurité. La majorité des plateformes d'échange permettent de définir une liste d'adresses de retrait autorisées, avec un délai de validation de 24 à 48 heures pour toute nouvelle adresse ajoutée. Cette fonctionnalité, souvent négligée, constitue votre meilleure protection. Même si un criminel récupère votre session authentifiée, il ne pourra pas retirer vos actifs vers une adresse non préalablement approuvée. Ce délai de sécurité vous donne le temps de réagir. Pour comprendre d'autres vulnérabilités liées à la sécurité des actifs numériques, consultez notre analyse sur comment les hackers contournent la sécurité des hardware wallets.
Renforcer votre authentification multi-facteur sécurité
L'authentification multifacteur reste une protection indispensable, mais elle n'est plus suffisante face aux attaques phishing MFA par interception en temps réel. La vigilance doit désormais porter sur trois éléments complémentaires : la vérification systématique des URL avant toute connexion, l'activation des whitelists de retrait avec délai de sécurité, et la méfiance absolue envers tout message contenant un lien cliquable, même s'il semble provenir de votre plateforme.
Les criminels exploitent un angle mort psychologique : nous avons appris à faire confiance au MFA comme garantie ultime. Or, cette confiance devient une vulnérabilité lorsqu'elle nous fait baisser la garde. Un code MFA validé ne signifie pas que vous êtes sur le bon site. Il signifie simplement que vous avez prouvé votre identité à quelqu'un, mais ce quelqu'un n'est pas nécessairement la plateforme légitime.
La réglementation évolue. L'article 67 du Règlement MiCA impose désormais aux plateformes européennes des obligations renforcées en matière de dispositifs de sécurité, notamment l'authentification forte. Concrètement, cela signifie que les exchanges devront progressivement abandonner les codes SMS au profit de solutions plus robustes comme les clés de sécurité physiques (FIDO2). Mais cette transition prendra du temps, et les services de rançon cybercriminels adaptent déjà leurs techniques.
En attendant, la règle reste simple : ne cliquez jamais sur un lien reçu par e-mail ou SMS pour vous connecter à votre compte crypto. Tapez vous-même l'URL ou utilisez l'application officielle. C'est contraignant, c'est moins rapide, mais c'est la seule manière de vous assurer que vous communiquez réellement avec la bonne plateforme. Face à des services comme Starkiller, cette discipline devient votre première ligne de défense. Si vous souhaitez approfondir les enjeux de sécurité dans l'écosystème crypto, notamment concernant les vulnérabilités face à l'informatique quantique, notre analyse détaillée examine les risques émergents pour vos actifs numériques.
