L’APWG a recensé 971 181 attaques de phishing rien qu’au 1er trimestre 2026 — soit une hausse de 13,8 % par rapport au trimestre précédent. Et en janvier 2026, Google a perturbé ce qu’il a qualifié de l’un des plus grands réseaux de proxies résidentiels au monde après avoir constaté que plus de 550 groupes malveillants y faisaient transiter leur trafic en une seule semaine. Les proxies, en fin de compte, se retrouvent des deux côtés de la lutte contre le phishing.
C’est précisément la tension que la plupart des articles sur les « proxies et le phishing » passent sous silence. Ils vous disent soit que les proxies sont un bouclier (achète notre produit proxy, tu seras protégé), soit qu’ils sont une arme pour les attaquants (méfie-toi). La réalité est plus nuancée — et bien plus intéressante.
Les attaquants utilisent une infrastructure de proxies pour masquer leur origine, faire tourner leurs requêtes via des adresses IP réputées fiables et voler des sessions authentifiées — même après une MFA. Les défenseurs, eux, s’appuient sur des proxies pour analyser en toute sécurité des liens suspects, tester l’apparence de pages de phishing selon les pays, et filtrer le trafic malveillant avant qu’il n’atteigne leurs propres sites. Ce guide couvre les deux angles, puis te montre un workflow concret que tu peux vraiment mettre en place. Pas de blabla, pas de solution miracle.
- Niveau : intermédiaire
- Temps nécessaire : environ 25 minutes pour lire et planifier ; la mise en œuvre dépend de chaque étape
- Prérequis : une compréhension de base de l’infrastructure web de ton organisation, l’accès aux paramètres DNS de ton domaine, un navigateur Chrome (pour les étapes Thunderbit), et éventuellement un compte chez un fournisseur de proxies
Qu’est-ce que le phishing et pourquoi ton entreprise doit-elle s’en soucier ?
Le phishing est une attaque par tromperie. Les cybercriminels utilisent des e-mails, des SMS, de fausses pages de connexion, des QR codes ou des sites usurpés pour pousser les victimes à divulguer leurs identifiants, valider une connexion, installer un malware ou effectuer un virement.
Aujourd’hui, ce n’est plus seulement un problème de « mauvais e-mail ». Le phishing moderne repose sur des pages hébergées dans le cloud, de faux parcours de connexion Microsoft 365, des QR codes et le vol de jetons de session.
Pour les entreprises, l’enjeu est très concret. Le rapport 2025 d’IBM sur le coût d’une violation de données estime le coût moyen mondial d’une fuite à 4,4 millions de dollars. Le rapport 2025 du FBI sur la cybercriminalité indique que l’IC3 a reçu environ 453 000 plaintes liées à des fraudes facilitées par Internet, avec des pertes déclarées dépassant 17,7 milliards de dollars, dont plus de 3 milliards liés à la compromission de la messagerie d’entreprise (BEC).
Vol d’identifiants, fraude au virement, compromission de la chaîne d’approvisionnement, amendes réglementaires : le phishing touche à tout cela.
Voici ce qui suit : la place des proxies dans les stratégies d’attaque et de défense, et à quoi ressemble une vraie défense multicouche.
La double nature des proxies : ton bouclier et leur arme
Un proxy est un intermédiaire entre ton appareil et Internet. Au lieu de voir ton adresse IP réelle, un site voit celle du proxy. C’est un peu comme un service de réexpédition du courrier : le destinataire reçoit la lettre depuis l’adresse de réexpédition, pas depuis ton domicile.
Cette propriété crée un problème d’usage à double tranchant. Les équipes sécurité utilisent des proxies pour enquêter sur des menaces sans exposer l’IP de l’entreprise ni le poste d’un analyste. Les attaquants utilisent exactement la même technologie pour faire passer un trafic malveillant pour du trafic d’utilisateurs ordinaires, provenant d’autres pays ou de réseaux résidentiels réputés. L’analyse de Barracuda d’avril 2026 l’explique clairement : les adresses IP résidentielles semblent authentiques parce qu’elles sont liées à de vraies connexions Internet domestiques ou de petites entreprises, ce qui réduit les chances qu’un système antifraude les signale.
La plupart des articles concurrents ne présentent qu’un seul côté. Résultat : les lecteurs n’ont qu’une vision incomplète — et donc des défenses incomplètes.
Comment les attaquants utilisent les proxies contre toi
Trois vecteurs d’attaque comptent particulièrement pour les défenseurs en entreprise : l’anonymisation et la rotation d’IP, l’abus de proxies résidentiels et l’évasion via des plateformes jugées fiables.
Explication du phishing AiTM (Adversary-in-the-Middle)
L’AiTM est l’attaque qui casse l’idée selon laquelle « la MFA nous protège » (spoiler : la MFA traditionnelle n’y résiste pas).
Dans une attaque AiTM, l’attaquant place un reverse proxy entre la victime et une page de connexion légitime — par exemple Microsoft 365. L’utilisateur voit ce qui ressemble à un vrai flux de connexion. Il saisit ses identifiants, termine la MFA, et le fournisseur d’identité légitime émet un cookie de session. Mais comme tout le trafic passe par le proxy de l’attaquant, celui-ci capture ce cookie. Il peut ensuite le rejouer pour accéder au compte — sans mot de passe ni nouvelle demande MFA.
L’analyse de Microsoft sur Tycoon2FA, l’un des kits AiTM les plus répandus, montre que les opérateurs peuvent usurper les pages de connexion Microsoft 365, Outlook, SharePoint, OneDrive et Google. Le kit génère des PDF et des QR codes, gère les chaînes de redirection, et suit l’usage de la MFA ainsi que la capture des cookies de session. Son infrastructure s’appuie sur des sous-domaines à durée de vie courte et des services hébergés chez Cloudflare pour compliquer les listes de blocage.
Rien de tout cela n’est théorique. Les kits AiTM sont exploités à grande échelle, et c’est la principale raison pour laquelle « nous avons une MFA » ne suffit pas comme réponse au phishing.
Abus de proxies résidentiels et rotation d’IP
Les réseaux de proxies résidentiels font transiter le trafic des attaquants par de vraies adresses IP domestiques, ce qui donne au trafic de phishing une apparence légitime et lui permet d’échapper aux détections antifraude basées sur l’IP. Beaucoup de fournisseurs ne vérifient pas sérieusement l’usage réel de leurs IP, ce qui alimente un marché gris.
L’exemple le plus parlant : en janvier 2026, le Google Threat Intelligence Group a perturbé le réseau de proxies résidentiels IPIDEA, réduisant de plusieurs millions le parc d’appareils disponible. GTIG a observé plus de 550 groupes de menace distincts utilisant les nœuds de sortie IPIDEA en sept jours. L’enquête a révélé des recoupements avec des botnets, des abus d’accès à des SaaS, des attaques par password spraying et des acteurs d’espionnage à l’échelle mondiale. De nombreux déploiements de SDK proxy manquaient de consentement utilisateur clair.
L’avis du FBI de 2026 sur les proxies résidentiels cite le phishing, la connexion avec identifiants volés, les attaques par force brute, la prise de contrôle de comptes, le spam et l’obfuscation de C2 parmi les usages criminels.
Hébergement sur des plateformes réputées et contournement des kits de phishing
Autre technique d’évasion : héberger des pages de phishing sur des plateformes considérées comme fiables — SharePoint, Google Docs, Azure Blob Storage — pour profiter de la réputation du domaine. L’analyse de Microsoft sur les menaces visant Azure Blob Storage montre que les attaquants l’utilisent pour héberger de fausses pages de connexion Microsoft, plus difficiles à identifier comme malveillantes pour les victimes si elles se fient uniquement aux certificats.
Les kits de phishing intègrent aussi leur propre logique d’évasion. L’analyse de Cofense sur les kits de phishing documente le filtrage par géolocalisation, le filtrage par user-agent et par langue, les CAPTCHA, la détection des outils de développement et les redirections vers de vraies pages. Si un visiteur ne correspond pas au profil de la victime ciblée — mauvais pays, mauvais navigateur ou présence probable d’un scanner de sécurité — la page affiche un contenu inoffensif ou une 404.
Scanner depuis une seule IP d’entreprise ou un datacenter cloud ne suffit donc pas. Le kit est littéralement conçu pour se cacher de toi.
Comment les défenseurs utilisent les proxies pour riposter
Du côté défensif, les proxies remplissent quatre fonctions très utiles :
-
Analyse anonyme des URL et des domaines. Fais passer les liens suspects par un proxy contrôlé, afin que la destination voie l’IP du proxy et non l’ordinateur d’un employé ou le réseau de l’entreprise. Cela limite l’exposition directe et crée un processus d’enquête reproductible.
-
Collecte de renseignement sur les menaces. Utilise des proxies rotatifs pour explorer des infrastructures de phishing, des listes de domaines, des flux publics de threat intel ou des sources de domaines nouvellement enregistrés sans être bloqué après quelques requêtes. (Toujours dans le respect du droit et des conditions d’utilisation.)
-
Détection géodistribuée du phishing. Utilise des proxies dans plusieurs régions pour vérifier si une URL suspecte se comporte différemment depuis les États-Unis, l’UE, la zone APAC ou un autre marché ciblé. Cela permet de repérer les kits qui appliquent un géoblocage ou un filtrage par user-agent — les mêmes techniques d’évasion décrites plus haut.
-
Déploiement d’un reverse proxy / WAF. Les reverse proxies se placent devant tes propres domaines. Ils n’empêchent pas les employés de cliquer sur des liens de phishing sortants, mais ils protègent tes propriétés web contre le trafic de bots, le credential stuffing, les charges malveillantes et les schémas de trafic abusifs.
Pourquoi la MFA seule ne suffit pas face au phishing basé sur les proxies
J’ai vu ce débat revenir dans des dizaines de forums IT : « Nous avons la MFA, donc nous sommes protégés. » Les administrateurs systèmes qui ont réellement géré un incident AiTM ont une vision très différente.
Le mécanisme est simple. La victime valide la MFA dans ce qui semble être un vrai flux de connexion. Le fournisseur d’identité légitime émet un jeton de session. L’attaquant capture ce jeton via son reverse proxy.
L’authentification a réussi — mais l’attaquant contrôle désormais la session. Une simple réinitialisation du mot de passe peut ne pas suffire si les sessions actives et les modifications de MFA effectuées par l’attaquant restent en place. Microsoft indique explicitement que les organisations touchées doivent révoquer les cookies de session et annuler les modifications MFA réalisées par l’attaquant, au-delà des remédiations standard.
Codes SMS, applications OTP, approbations push : tout cela peut être piégé si l’utilisateur les valide dans un flux contrôlé par l’attaquant. La MFA a fait son travail. Le problème, c’est que l’attaquant regardait tout en direct.
Ce qui arrête réellement le phishing AiTM
FIDO2 / passkeys. La FIDO Alliance explique que les passkeys sont résistantes au phishing par conception : aucun mot de passe à voler, aucune donnée de connexion réutilisable. La paire de clés cryptographiques est liée à l’origine du domaine légitime, si bien qu’un proxy attaquant ne peut tout simplement pas reproduire le défi. La CISA confirme que FIDO et la PKI sont les seules méthodes MFA non propriétaires largement disponibles qui empêchent le phishing d’identifiants.
Authentification par certificat. Plus complexe à déployer en entreprise, mais tout aussi résistante au phishing, car elle repose sur des certificats de l’appareil plutôt que sur des codes saisis par l’utilisateur.
Politiques d’accès conditionnel. Dans les environnements Microsoft, Conditional Access peut exiger des appareils conformes, des emplacements de confiance, des vérifications basées sur le risque ou une authentification résistante au phishing — ce qui réduit la valeur d’un jeton de session volé, même si l’attaquant en obtient un.
Toutes ces mesures sont complémentaires des proxies, pas des remplacements. L’objectif, c’est la superposition des couches.
Options pratiques pour les PME avec un budget serré
L’objection évidente : « Intune, MDM, clés matérielles… c’est du budget d’entreprise. » C’est vrai. Voici une approche compatible avec un budget limité :
- Passkeys dans le navigateur. La plupart des navigateurs modernes prennent nativement en charge les passkeys. Pas besoin d’acheter du matériel. Commence par les comptes administrateurs, finance et RH.
- Déploiement DMARC gratuit. Les enregistrements SPF, DKIM et DMARC ne coûtent rien à publier. Google Workspace et Microsoft 365 proposent des guides de configuration intégrés.
- Enregistrement défensif de domaines. Réserve les fautes d’orthographe courantes et les domaines ressemblants à ta marque. La plupart des registrars facturent 10 à 15 dollars par an et par domaine. Applique à chacun une politique DMARC en rejet.
- Formation ciblée. Concentre la sensibilisation des collaborateurs sur les appâts AiTM : fausses pages de connexion Microsoft 365, faux partages de documents, QR codes, arnaques au device code et scénarios « paiement urgent / fournisseur urgent ».
Vois cela comme une démarche « commence ici, améliore ensuite ». Même une adoption partielle réduit fortement le risque.
Quel type de proxy fonctionne le mieux pour éviter le phishing ?
Les différents types de proxies servent des objectifs anti-phishing différents, et choisir le mauvais revient à gaspiller de l’argent ou à créer des angles morts.
| Type de proxy | Meilleur cas d’usage anti-phishing | Avantages | Inconvénients | Niveau de coût |
|---|---|---|---|---|
| Datacenter | Analyse massive d’URL, surveillance de domaines | Rapide, peu coûteux, grand volume | Facilement détecté par les kits de phishing sophistiqués | Faible |
| Résidentiel | Détection ciblée par zone géographique, test du point de vue d’un utilisateur | Semble correspondre à du trafic réel, contourne les géoblocages | Plus lent, plus cher, fortes questions éthiques sur la provenance | Élevé |
| Rotatif | Collecte de threat intelligence, surveillance continue | Évite les bannissements d’IP pendant les longues sessions de crawl | Configuration plus complexe, latence variable | Moyen |
| Reverse Proxy / WAF | Défense de tes propres propriétés web | Filtre les menaces entrantes, détecte les bots, protège contre les DDoS | N’aide pas à détecter le phishing sortant | Moyen |
Un mot sur la provenance éthique. Le cas Google/IPIDEA et l’avis du FBI montrent clairement que les réseaux de proxies résidentiels peuvent être constitués à partir d’appareils compromis, de SDK trompeurs, de conditions VPN dissimulées ou de malware. Avant d’acheter du trafic proxy résidentiel, exige du fournisseur un consentement utilisateur transparent, des mécanismes de désinscription, de l’auditabilité et une gestion sérieuse des abus. Les fournisseurs déjà signalés dans des recherches de sécurité (PacketStream, l’ancien 911 Proxy désormais disparu) doivent être abordés avec une extrême prudence.
Pour la plupart des petites et moyennes entreprises, commence par des proxies datacenter pour l’analyse massive et un reverse proxy / WAF pour tes propres domaines. N’ajoute des proxies résidentiels que si tu dois effectuer des tests géociblés et que tu peux réellement auditer le fournisseur.
Étape par étape : comment éviter le phishing avec des proxies (workflow pratique)
La plupart des articles s’arrêtent à la théorie. Chaque étape ci-dessous inclut une recommandation d’outil et suffisamment de détails pour la transmettre à ton équipe IT ou la suivre toi-même.
Étape 1 : Surveiller les domaines ressemblants nouvellement enregistrés
Les attaquants enregistrent des domaines qui ressemblent au tien avant de lancer leurs campagnes : thunderb1t.com, thunderbit-login.com, thunderbit-support.net.
Les détecter tôt est l’une des actions défensives les plus rentables.
Comment faire :
- Constitue une liste de surveillance avec les termes de ta marque, tes noms de produits, les noms des dirigeants et les mots liés à la connexion (par ex. « login », « portal », « invoice », « payment »).
- Interroge quotidiennement les journaux Certificate Transparency (CT) avec crt.sh, qui permet de rechercher des certificats par domaine ou par nom d’organisation. Les journaux CT enregistrent les certificats émis publiquement, donc les nouveaux certificats pour des domaines ressemblants y apparaîtront.
- Signale les domaines dont la distance d’édition avec ta marque est faible, ceux avec des TLD suspects (.xyz, .top, .click) ou ceux contenant des mots-clés de connexion/paiement.
- Rends les pages signalées via un proxy ou un sandbox — jamais depuis le navigateur d’un employé.
Lien avec Thunderbit : l’API d’extraction par lots de Thunderbit peut traiter jusqu’à 100 URL suspectes par tâche, avec renderMode: "full" pour afficher les clones de phishing riches en JavaScript. Tu définis un schéma JSON pour les données à récupérer — titre de la page, présence d’un formulaire de connexion, domaine de l’action du formulaire, émetteur SSL, chaîne de redirection, URL finale. L’équivalent en ligne de commande s’intègre parfaitement à une surveillance planifiée via cron :
thunderbit batch extract --file suspicious-urls.txt --schema phishing-signals.json --render-mode full
Pour les utilisateurs non techniques, l’extension Chrome Thunderbit peut aussi servir à extraire et examiner rapidement des pages suspectes en quelques clics — utile quand tu dois simplement vérifier visuellement quelques URL plutôt que lancer un pipeline planifié.
Résultat attendu : un rapport quotidien ou hebdomadaire des domaines ressemblants nouvellement enregistrés, avec des métadonnées structurées prêtes à être triées.
Essaie Thunderbit pour l’analyse d’URL suspectes
Étape 2 : Faire passer les liens suspects par des proxies datacenter
Avant qu’un membre de ton organisation ne clique sur un lien suspect, analyse-le via un chemin contrôlé. L’IP visible sera celle du proxy, pas celle du poste de l’employé ni du réseau de l’entreprise.
Comment faire :
- Pour des vérifications rapides, utilise urlscan.io (un bac à sable web permettant de choisir le pays de scan) ou VirusTotal (analyse des URL avec des dizaines d’outils antivirus et de listes de blocage).
- Pour des scripts internes ou une analyse à plus grand volume, fais passer les requêtes par un proxy datacenter :
curl -x http://proxy.example.com:8080 -I "https://suspicious.example"
- Pour les pages de phishing en direct, utilise une VM jetable ou un sandbox de navigateur. N’entre jamais d’identifiants. Capture la chaîne de redirection, le titre de la page, la destination finale, les soumissions de formulaires, les scripts et les captures d’écran.
- Ne soumets jamais d’identifiants d’entreprise réels. Et manipule avec prudence les scans publics — certains services exposent les URL soumises, sauf configuration privée ou non listée.
Résultat attendu : une évaluation sûre de la destination du lien, de son comportement et de ses indicateurs — sans exposition de l’entreprise.
Étape 3 : Utiliser des proxies géodistribués pour repérer les campagnes ciblées
Certains kits de phishing n’affichent leur contenu malveillant qu’aux visiteurs provenant d’un pays ou d’un paramètre de langue précis. Cofense documente que le filtrage par géolocalisation est courant : les visiteurs venant de la « mauvaise » région voient une page inoffensive ou une 404, tandis que la cible reçoit le formulaire de collecte d’identifiants.
Comment faire :
- Teste les liens suspects depuis les régions où tes employés, tes clients et tes équipes financières opèrent réellement. Si ton entreprise est basée aux États-Unis avec un bureau au Royaume-Uni, teste depuis les deux.
- Compare par région les URL finales, captures d’écran, titres de page, formulaires et codes de réponse HTTP.
- Fais varier le user-agent et la langue lors de l’analyse des arnaques par QR code ou ciblant le mobile — certains kits filtrent aussi sur ces critères.
- Escalade les URL qui affichent un contenu inoffensif dans un endroit mais des formulaires de connexion dans un autre. C’est un signal de phishing fort.
Résultat attendu : la détection de campagnes géociblées qui seraient invisibles avec une analyse depuis un seul emplacement.
Étape 4 : Déployer un reverse proxy ou un WAF pour tes propres domaines
Il est temps de passer de la détection sortante à la défense entrante. Les reverse proxies et les WAF se placent devant tes propriétés web et inspectent le trafic entrant avant qu’il n’atteigne tes serveurs.
Comment faire :
- Fais pointer le DNS de ton domaine vers un fournisseur de reverse proxy. Cloudflare est l’option la plus accessible pour les PME — DNS, CDN, WAF et règles sont réunis dans une seule interface. Pour des applications hébergées sur AWS, AWS WAF fonctionne bien si tu utilises déjà CloudFront, ALB ou API Gateway.
- Active les règles WAF gérées. Elles bloquent les IP malveillantes connues, filtrent le trafic des bots et détectent les schémas de credential stuffing.
- Active des limites de débit pour la connexion, la réinitialisation de mot de passe et les formulaires de contact.
- Ajoute des règles anti-bot ou de challenge pour les points de terminaison à risque.
- Surveille les événements WAF chaque semaine — ne te contente pas d’un « configurer et oublier ».
Résultat attendu : le trafic entrant malveillant est filtré avant d’atteindre tes serveurs. Les tentatives de credential stuffing sur tes pages de connexion sont bloquées ou challengées.
Étape 5 : Automatiser et planifier une surveillance continue
Le phishing n’est pas un audit ponctuel. De nouveaux domaines, kits et infrastructures apparaissent chaque jour — la surveillance doit donc suivre un rythme :
- Quotidiennement : scan CT des domaines ressemblants et file d’attente des domaines suspects.
- Quotidiennement ou toutes les heures (pour les marques à haut risque) : vérification en sandbox des URL pour les nouveaux domaines découverts.
- Chaque semaine : revue des rapports agrégés DMARC et des schémas d’usurpation.
- Chaque semaine : revue des événements WAF pour détecter le credential stuffing et les pics de bots.
- Chaque mois : contrôle de l’avancement du déploiement d’une MFA résistante au phishing.
- Chaque trimestre : test des workflows finance et RH avec des scénarios réalistes d’AiTM et de BEC.
Lien avec Thunderbit : les workflows de scraping planifié et d’API/CLI de Thunderbit peuvent soutenir une surveillance récurrente pour les équipes opérationnelles non techniques. Le meilleur cas d’usage n’est pas « Thunderbit bloque le phishing tout seul » — c’est « Thunderbit aide les équipes opérationnelles à collecter des signaux structurés depuis des pages suspectes et des sources de surveillance de domaines sans créer un scraper sur mesure de zéro ». Les résultats peuvent être envoyés vers Google Sheets ou Airtable pour la visibilité d’équipe, ou vers Slack via une intégration simple.
Résultat attendu : une boucle de surveillance continue qui détecte les nouvelles menaces en quelques heures, et non en plusieurs semaines.
Ce que les proxies ne peuvent pas arrêter : sécuriser les e-mails avec DMARC, SPF et DKIM
Les fournisseurs de proxies ne te le diront pas toujours : les proxies ne constituent qu’une couche de défense, et le phishing par e-mail qui ne passe jamais par un proxy nécessite une protection séparée.
De nombreuses attaques de phishing arrivent via des adresses e-mail usurpées. Un proxy ne les interceptera pas.
Configurer SPF avec échec dur
SPF (Sender Policy Framework) est un enregistrement DNS qui liste les IP autorisées à envoyer des e-mails au nom de ton domaine. Configure -all (échec dur) plutôt que ~all (échec souple) afin de rejeter purement et simplement les expéditeurs non autorisés.
Piège courant : oublier d’inclure tous les services d’envoi légitimes — ton CRM, ta plateforme marketing, ton fournisseur d’e-mails transactionnels, ton helpdesk. Audite tes sources d’envoi avant de publier l’enregistrement.
Mettre en place la signature DKIM
DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique aux e-mails sortants. Le destinataire vérifie que le message n’a pas été modifié pendant le transport. Google Workspace et Microsoft 365 proposent tous deux des guides intégrés pour la configuration DKIM. Cela prend environ 15 minutes.
Imposer DMARC en mode rejet
DMARC (Domain-based Message Authentication, Reporting & Conformance) indique aux serveurs de réception quoi faire lorsque SPF ou DKIM échouent. L’étape critique que beaucoup d’organisations sautent : passer de p=none (simple surveillance) à p=reject (blocage des messages en échec) une fois les flux d’e-mails légitimes vérifiés.
Beaucoup d’entreprises laissent DMARC à p=none indéfiniment — de la visibilité sans protection. C’est comme installer une caméra de sécurité sans jamais fermer la porte.
Enregistrement défensif des domaines ressemblants
Enregistre de manière proactive les fautes d’orthographe courantes et les domaines ressemblants de ta marque. Définis des politiques DMARC en rejet sur ces domaines défensifs afin qu’ils ne puissent pas servir à usurper des e-mails. À 10–15 dollars par an et par domaine, c’est l’une des mesures les moins chères et les plus efficaces qui soient — et la plupart des petites entreprises l’ignorent complètement.
Tout assembler : une défense en couches contre le phishing
Aucun outil unique n’arrête le phishing. C’est la combinaison qui rend la défense solide. Checklist pratique :
Sortant (investigation des menaces) :
- Analyse d’URL via proxy pour les liens suspects
- Surveillance des domaines via les logs CT et l’extraction par lots
- Tests géodistribués pour les campagnes ciblées par région
Entrant (protection de tes propriétés) :
- Reverse proxy / WAF pour tes domaines web
- DMARC/SPF/DKIM pour l’authentification des e-mails
- Enregistrement défensif de domaines ressemblants
Authentification (protection des comptes) :
- FIDO2 / passkeys pour une MFA résistante au phishing
- Politiques d’accès conditionnel (appareils conformes, vérifications basées sur le risque)
- Processus de surveillance et de révocation des jetons de session
Humain (le dernier filet de sécurité) :
- Formation ciblée spécifiquement sur les appâts AiTM, les QR codes et les scénarios BEC
- Culture de signalement claire — faciliter le signalement des messages suspects sans sanction
- Tests réguliers des workflows finance et RH face à des scénarios de phishing réalistes
Cette approche s’aligne sur le principe de défense en profondeur du NIST Cybersecurity Framework : plusieurs couches indépendantes, pour qu’une défaillance n’entraîne pas une compromission totale.
Pour les équipes qui doivent enquêter sur des URL suspectes, extraire des données de menace ou surveiller des domaines à grande échelle, l’AI web scraper de Thunderbit peut accélérer le workflow — extension Chrome pour les utilisateurs non techniques, API/CLI pour les équipes techniques. Ce n’est pas un produit de sécurité en soi, mais il a clairement sa place dans la boîte à outils d’un analyste. Tu peux en savoir plus sur le scraping web sans coder ou explorer des approches de scraping web avec IA sur notre blog.
Utilise le scraping web par IA pour la surveillance des menaces Get Started Free
FAQ
Comment les attaquants utilisent-ils les proxies pour des attaques de phishing ?
Les attaquants utilisent des proxies résidentiels et rotatifs pour masquer leur vraie IP, faire circuler leur trafic via des adresses de confiance, contourner la détection antifraude basée sur l’IP et déployer des reverse proxies AiTM pour intercepter des sessions authentifiées — même après que la victime a validé la MFA. La perturbation d’IPIDEA en janvier 2026 a montré que plus de 550 groupes de menace utilisaient un seul réseau de proxies résidentiels.
Comment un reverse proxy empêche-t-il le phishing et la compromission d’un site web ?
Un reverse proxy se place devant tes serveurs web et inspecte le trafic entrant avant qu’il n’atteigne ton infrastructure. Il bloque les IP malveillantes connues, filtre le trafic des bots, limite les tentatives de connexion et détecte le credential stuffing ou les activités liées au phishing. En revanche, il ne protège pas les employés contre le clic sur des liens de phishing sortants.
Les proxies peuvent-ils empêcher complètement le phishing ?
Non. Les proxies ne sont qu’une couche essentielle, mais le phishing par e-mail nécessite DMARC/SPF/DKIM, et le détournement de session via des attaques AiTM exige une MFA résistante au phishing comme FIDO2/passkeys. Une défense multicouche combinant proxies, authentification e-mail, identifiants résistants au phishing et formation des collaborateurs est indispensable.
Qu’est-ce que le phishing AiTM et pourquoi la MFA ne l’arrête-t-elle pas ?
Le phishing AiTM (Adversary-in-the-Middle) utilise un reverse proxy entre la victime et la vraie page de connexion, puis capture le jeton de session après validation de la MFA. La MFA traditionnelle ne l’arrête pas, car l’attaquant vole la session authentifiée, pas le mot de passe. FIDO2/passkeys résistent à cette attaque, car le défi cryptographique est lié au domaine légitime et ne peut pas être rejoué via le proxy de l’attaquant.
Quel type de proxy est le meilleur pour détecter le phishing ?
Les proxies datacenter sont les meilleurs pour l’analyse massive d’URL (rapides et bon marché). Les proxies résidentiels sont les meilleurs pour les tests ciblés par région (réalistes mais plus chers — il faut vérifier la provenance éthique du fournisseur). Les reverse proxies/WAF sont les meilleurs pour défendre tes propres sites. L’approche la plus solide combine plusieurs types selon ce que tu cherches à détecter ou à protéger.
Essaie Thunderbit pour la surveillance des menaces et le scraping IA Get Started Free
En savoir plus
