Opération ASTERIX : comment un faux appel du support installe une application de portefeuille contrefaite

Si quelqu'un vous appelle, connaît votre nom et votre adresse électronique et vous demande de réinstaller une application de portefeuille, alors l'appel est très probablement l'attaque elle-même. C'est exactement le schéma que décrit la société de sécurité Rapid7 dans un rapport du 17 août 2026 sous le nom d'opération ASTERIX. L'essentiel pour les lecteurs en Allemagne tient dans un seul chiffre : le plus grand fichier saisi contenait 316 002 numéros de mobile allemands.

Le cas est remarquable parce qu'il branche ensemble trois voies d'attaque qui apparaissent d'ordinaire séparément. Un standard téléphonique appelle automatiquement. Un courriel fournit le prétexte. Et au bout se trouve un programme qui ressemble au logiciel de portefeuille habituel et demande les mots de récupération. Qui a compris cette chaîne une fois la reconnaît à l'endroit où elle rompt.

L'opération ASTERIX expliquée : ce que Rapid7 a trouvé sur un serveur ouvert

L'opération ASTERIX désigne une chaîne de fraude qui relie appels téléphoniques, courriels d'hameçonnage et programmes de portefeuille contrefaits en un seul enchaînement. Le nom a été attribué par les analystes : sur le serveur tournait Asterisk, un logiciel libre de standard téléphonique, et c'est lui qui servait d'ossature aux appels.

Le serveur a été découvert à la faveur d'une erreur de ses exploitants. Selon Rapid7, un répertoire web sur le port 8080 était accessible sans authentification et affichait son contenu ouvertement. On y trouvait des jeux de numéros de téléphone, des outils de vérification de comptes, des paquets d'installation prêts à l'emploi des programmes contrefaits, des interfaces d'hameçonnage, des scripts de numérotation et les journaux de session des modèles de langage employés. Rapid7 indique avoir signalé ses constats notamment à l'équipe de sécurité d'Apple et avoir travaillé avec les parties concernées à des contre-mesures.

Une telle découverte est rarement aussi complète. On ne voit d'ordinaire d'une campagne que ce qui parvient à la victime. Ici, l'établi était à ciel ouvert.

316 002 numéros de mobile allemands : pourquoi l'Allemagne était le plus gros poste

Au total, les jeux de données trouvés couvraient environ 885 000 numéros de téléphone provenant de plusieurs régions. Outre l'Allemagne, le rapport cite Hong Kong, la Bulgarie, le Royaume-Uni, les États-Unis et un prestataire financier canadien. Pour les utilisateurs d'une marque connue de portefeuille matériel, s'y ajoutaient 54 fichiers classés par pays.

Le fichier allemand était le plus gros pris isolément. Cela ne signifie pas que 316 002 personnes en Allemagne ont été appelées. Cela signifie que leurs numéros étaient disponibles comme ensemble de départ. La distinction est importante et sera reprise plus bas, car elle détermine l'ampleur réelle de cette campagne.

D'où proviennent les numéros, le rapport ne le dit pas. Des jeux de cette ampleur circulent depuis des années à la suite de fuites de données chez des commerçants, des transporteurs et des services en ligne. Pour la défense, l'origine ne joue aucun rôle : un numéro de téléphone ne se rappelle pas.

Un taux de réussite de 13,6 % : comment les comptes crypto sont filtrés parmi les numéros

Le véritable tour de main intervient avant le premier appel. Les exploitants ont fait tourner des outils de vérification automatisés contre la fonction de connexion d'une grande place de marché et ont ainsi établi quel numéro y possède un compte. Le procédé exploite le fait que de nombreux services répondent différemment à une tentative de connexion selon qu'un numéro est enregistré ou non.

Selon les indications du rapport, le taux de réussite dans le jeu de données allemand s'élevait à 13,6 %. Les 316 002 numéros devenaient ainsi 43 066 comptes confirmés. Environ un numéro sur sept appartenait à un utilisateur actif.

Pour les attaquants, c'est une question d'efficacité. Plutôt que d'appeler des centaines de milliers de personnes et de se heurter chez la plupart à l'incompréhension, il reste une liste où chaque personne appelée connaît le produit dont on lui parle. L'appel paraît de ce fait plausible avant même qu'un mot ne soit prononcé.

Vishing plutôt que courriel : comment l'appel est passé via un standard téléphonique

Le vishing désigne l'hameçonnage par appel vocal : la tentative de fraude passe par le téléphone plutôt que par un courriel. Sur le serveur, Rapid7 en a trouvé l'équipement complet, dont les standards Asterisk et 3CX ainsi que plusieurs scripts de numérotation automatisée et de coordination avec le reste de l'infrastructure.

L'effet naît de la préparation. Celui qui appelle peut, selon le rapport, citer le nom de la personne appelée, son adresse électronique, sa localité et des éléments sur son compte. Ce n'est pas de la magie mais le résultat de la vérification préalable et des jeux de données. Pour la personne appelée, cela ressemble à un rappel du prestataire, avec un employé qui a le dossier sous les yeux.

Vient ensuite le prétexte. Il y a un problème de sécurité, une connexion suspecte, une mise à jour nécessaire. La solution proposée est toujours la même : installer une application, disponible par courriel ou via un lien indiqué.

Fausses Trezor Suite, Ledger Live et Exodus : quels programmes de portefeuille ont été copiés

Rapid7 a saisi trois applications contrefaites. Il s'agit de copies de Trezor Suite, Ledger Live et Exodus, chacune sous forme de paquet d'installation pour Windows et macOS, et dans le cas de la copie de Trezor séparément pour processeurs Intel et Arm.

Le point souvent mal compris ici : les éditeurs de ces programmes sont en l'espèce les imités. Ni leurs appareils ni leurs applications authentiques n'ont été attaqués. Ce qui a été copié, c'est l'interface, c'est-à-dire ce que vous voyez à l'écran. L'attaque a lieu au moment où vous tapez vos mots dans une fenêtre qui ne fait que ressembler à celle que vous connaissez.

Le truc de la double saisie : pourquoi la fausse application simule une erreur

Le détail le plus intéressant du rapport est une petite perfidie dans l'enchaînement. La fausse application Trezor accepte des phrases de récupération de 12, 18, 20 ou 24 mots, assorties sur demande d'une phrase de passe supplémentaire. Après la première saisie, elle affiche une erreur de vérification inventée et redemande la saisie.

Cela sert le contrôle qualité des malfaiteurs. Qui recopie une phrase de récupération se trompe facilement de frappe, et un seul mot erroné rend le butin sans valeur. L'erreur simulée fait en sorte que la deuxième saisie soit plus soigneuse et que les deux versions puissent être comparées.

Si vous connaissez ce comportement, vous disposez d'un signe de reconnaissance très net. Une véritable application de portefeuille ne vous invite pas, en fonctionnement courant, à saisir vos mots de récupération. Ces mots ne servent qu'à la configuration d'un appareil ou à sa restauration après une perte, et alors sur l'appareil lui-même.

Phrase de récupération via un bot Telegram : où s'écoulent les mots

La phrase de récupération, aussi appelée seed phrase, est la suite de mots à partir de laquelle toutes les clés d'un portefeuille peuvent être recalculées. Qui la détient détient les avoirs, quel que soit l'endroit où se trouve l'appareil.

Selon l'analyse de Rapid7, l'application contrefaite regroupe la suite de mots, la phrase de passe facultative et l'adresse IP de l'ordinateur dans un unique message et l'envoie à un bot Telegram. Le message porte un en-tête qui en nomme le contenu. L'exfiltration est donc organisée immédiatement et sans détour par un serveur propre aux attaquants.

Concrètement : entre la saisie et l'accès des malfaiteurs, il s'écoule des secondes, pas des heures. Toute révocation est exclue. Comment conserver une phrase de récupération sans jamais la taper dans un champ de texte, nous l'avons décrit dans un article consacré à la conservation de la phrase de récupération.

Installeur trojanisé : comment un faux outil embarque le mauvais portefeuille

Une trouvaille sort du cadre habituel. À côté des trois faux portefeuilles, le serveur hébergeait un programme d'installation manipulé qui se fait passer pour un outil de développement tout en livrant avec lui la fausse application Ledger Live.

Le public visé s'en trouve déplacé. Ne sont plus seulement concernés les investisseurs qui réagissent à un appel du support, mais aussi les utilisateurs techniquement avertis qui téléchargent des logiciels depuis des résultats de recherche ou des annonces. Ce groupe précisément se croit moins exposé, parce qu'il reconnaît les courriels d'hameçonnage classiques.

Il en découle pour vous une règle simple, précisée plus bas dans la section sur les sources d'approvisionnement : un paquet d'installation ne vaut que ce que vaut le chemin par lequel vous l'avez obtenu.

Outils d'IA dans la panoplie d'attaque : ce que montrent les journaux de session

Parce que les exploitants ont laissé leur environnement de travail à découvert, les journaux de leurs sessions avec des modèles de langage ont eux aussi été conservés. Rapid7 décrit des outils employés pour du travail de développement ordinaire : écrire des scripts, préparer des données, empaqueter des applications, mettre en place l'infrastructure.

Le rapport attribue les tâches à différents fournisseurs. Un assistant de programmation aurait aidé au développement en arrière-plan, un autre outil à la gestion et au nettoyage des listes de numéros, dont un stock de plus de 103 000 numéros polonais. Lorsqu'il s'est agi de dissimuler du code malveillant, la demande aurait été refusée, sur quoi les exploitants se sont rabattus sur un autre modèle et y ont tenté un contournement. Rapid7 indique ne pas pouvoir établir si cette tentative a abouti.

Pour la mise en perspective, il importe de distinguer ce qui est établi de ce qui ne l'est pas. Est établi que les attaquants ont utilisé de tels outils pour la préparation. N'est pas établi que ces outils auraient seuls rendu l'attaque possible. Standards téléphoniques, listes de numéros et interfaces copiées existaient bien avant ; les journaux montrent surtout l'ampleur du travail qui disparaît lorsque la routine est confiée à une machine.

Seulement 20 requêtes et six courriels : pourquoi la campagne était plus petite qu'il n'y paraît

À ce stade, un chiffre mérite sa place dans le texte, qui contredit le titre. Dans l'une des interfaces d'hameçonnage, selon Rapid7, seules 20 requêtes de données réussies et six courriels d'hameçonnage envoyés ont été consignés sur une période d'environ deux semaines.

Ce n'est pas un envoi de masse. Cela suggère une campagne en cours de montage, ou une sélection délibérément restreinte et ciblée. Les 885 000 numéros décrivent donc le potentiel du stock, non le nombre de personnes touchées. Qui en tire une information sur des centaines de milliers d'investisseurs lésés force le trait.

La pertinence pour vous n'en change pas fondamentalement pour autant. Le plan est documenté, les outils sont réunis et le travail préparatoire, sous forme de listes de comptes vérifiées, est accompli. Une telle infrastructure est rarement mise hors service ; elle change d'exploitant.

Faux appel du support : comment le reconnaître pendant la conversation

Il existe une poignée de marqueurs valables quel que soit le prestataire et que vous pouvez retenir pour le jour où cela compte.

• Personne ne vous appelle que vous n'avez pas appelé. Les places de marché et les fabricants de portefeuilles travaillent par systèmes de tickets, non par appels sortants vers des particuliers.
• L'appelant connaît vos données. Ce n'est pas une preuve d'authenticité mais, après ce cas, plutôt un signal d'alerte, puisque des listes vérifiées sont le point de départ.
• Une pression temporelle s'installe. Un accès prétendument en cours, un blocage dans quelques minutes, une mise à jour qui doit être faite immédiatement.
• Au bout, il y a toujours une installation ou une saisie. C'est précisément là que réside l'objet de la conversation.
• La voie du rappel est contournée. Qui est authentique ne voit pas d'inconvénient à ce que vous raccrochiez et repreniez contact vous-même par l'adresse officielle.

Le dernier point est le plus solide. Raccrochez, cherchez la page de contact de votre prestataire dans votre propre historique de navigation ou vos favoris, et posez-y votre question. Une demande authentique survit à un rappel ; une tentative de fraude, non.

La même règle de base vaut pour la variante par courriel de cette escroquerie, où une prétendue demande de retrait arrive dans votre boîte. Comment la reconnaître figure dans notre article sur les fausses demandes de retrait.

Vérifier une application de portefeuille : où se trouvent vraiment les vrais programmes

Puisque trois applications connues ont été copiées dans ce cas, il vaut la peine d'examiner les voies d'approvisionnement. Nous avons nous-mêmes appelé les adresses les plus évidentes le 22 août 2026 vers 19:00 UTC, pour voir où un utilisateur aboutit réellement.

Le résultat est inégal. La page officielle de Trezor Suite a répondu directement et menait au programme. L'adresse la plus évidente pour Ledger Live, en revanche, redirigeait vers l'espace boutique du fabricant, donc pas vers une page de téléchargement à proprement parler. Chez Exodus, l'appel automatisé de l'adresse de téléchargement a été rejeté, tandis que la page principale répondait normalement. Ce rejet est un mécanisme de protection contre les robots et ne dit rien de l'accessibilité depuis un navigateur.

Où se procurer le logiciel de portefeuille : ce que cela signifie pour vous en pratique

Si même la voie directe vers le fabricant redirige, la probabilité est forte que les utilisateurs cherchent à la place. Or les résultats de recherche et les annonces payantes sont depuis des années la voie de distribution la plus commode pour les applications copiées. Placez donc un favori sur la page du fabricant tant que vous l'avez atteinte en toute sécurité, et n'utilisez plus que celui-ci ensuite. Qui hésite encore sur le choix d'un appareil trouvera les fournisseurs et leurs voies d'approvisionnement officielles dans notre comparatif des portefeuilles matériels.

Phrase de récupération saisie : ce qui compte dans les premières minutes

Si vous avez tapé une phrase de récupération dans un programme dont vous ne pouvez pas établir l'origine avec certitude, le portefeuille est réputé compromis. Non pas potentiellement menacé, mais ouvert.

L'ordre des opérations est alors sans ambiguïté. Sur un appareil auquel vous faites confiance, configurez un nouveau portefeuille avec une nouvelle phrase de récupération. Virez-y les avoirs, en commençant par le poste le plus important. Vérifiez seulement ensuite ce qui pourrait être touché par ailleurs, par exemple des mots de passe identiques ou des comptes liés auprès de places de marché. Changer le mot de passe d'un portefeuille n'aide en rien à ce stade, car ce sont les mots eux-mêmes qui donnent l'accès.

Documentez la démarche en parallèle : horaire, application, provenance du fichier, identifiants de transaction. Pour un dépôt de plainte et pour le traitement fiscal ultérieur d'une perte, ces éléments vous seront nécessaires, et ils sont difficiles à reconstituer après coup.

Reconnaître une fausse application de portefeuille : ce qu'il faut retenir

1. Traitez tout appel non sollicité au sujet de votre compte crypto comme une tentative de fraude. Raccrochez et reprenez contact par une voie que vous connaissez vous-même. Si vous constatez au passage que votre prestataire n'assure aucun support téléphonique, vous avez déjà la réponse. Quelles places de marché sont agréées dans l'UE et comment trouver leurs véritables voies de contact, notre panorama des plateformes crypto réglementées le montre.
2. Ne vous procurez de logiciel de portefeuille que par un favori que vous avez vous-même enregistré. Pas par un résultat de recherche, pas par une annonce, pas par un lien issu d'une conversation. Un panorama des applications courantes et de leurs éditeurs figure dans le comparatif des portefeuilles logiciels.
3. Ne saisissez la phrase de récupération dans aucun programme qui vous la demande en fonctionnement courant. Ces mots vont sur l'appareil lors de la configuration ou de la restauration, et nulle part ailleurs. Quel appareil confirme la saisie sur son propre écran et sécurise ainsi l'étape intermédiaire décisive, cela figure dans le comparatif des portefeuilles matériels.

Le rapport lui-même est consultable publiquement et fonde toutes les indications de cet article : Rapid7 Labs sur l'opération ASTERIX.

(Au 22 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)