Hameçonnage : une campagne récente liée au trojan bancaire Ousaban montre comment des attaquants combinent ingénierie sociale, géolocalisation et fichiers piégés pour cibler des internautes en Espagne et au Portugal. Selon FortiGuard Labs, l’opération a été observée depuis mai 2026 et repose sur de faux PDF qui servent d’appât initial. Le schéma est classique, mais l’exécution est plus sophistiquée que dans beaucoup de campagnes de hameçonnage ordinaires. (fortinet.com)
Le leurre commence avec un PDF présenté comme corrompu ou inaccessible, invitant la victime à cliquer sur un bouton de mise à jour. Ce clic ouvre une page malveillante qui vérifie l’environnement de la victime avant de poursuivre. Si l’adresse IP ou le contexte système ne correspondent pas à l’Espagne ou au Portugal, la chaîne peut s’arrêter ou afficher un faux message d’indisponibilité. Cette logique de filtrage réduit le bruit et complique l’analyse par les chercheurs. (fortinet.com)
Hameçonnage, géofencing et faux PDF : une chaîne d’infection mieux cachée
Dans cette campagne de hameçonnage, la première étape ne cherche pas seulement à tromper l’utilisateur : elle cherche aussi à sélectionner la bonne victime. Fortinet décrit une page qui ressemble à une source légitime de documents fiscaux ou d’installateurs système, mais qui en réalité contrôle l’accès en fonction de données réseau et d’appareil. L’objectif semble être de n’exposer le contenu malveillant qu’aux utilisateurs ciblés, ce qui aide les attaquants à rester sous le radar. (fortinet.com)
Le point notable est l’usage de la stéganographie. La charge utile finale est dissimulée dans une image qui ressemble à une icône de PDF. Le script télécharge ensuite un fichier ZIP extrait de cette image, puis lance le binaire d’Ousaban. Une fois l’exécution commencée, plusieurs traces temporaires sont supprimées pour limiter les indices laissés aux analystes. (fortinet.com)
Cette approche n’est pas totalement nouvelle, mais elle montre une nette évolution des techniques de hameçonnage employées contre les utilisateurs bancaires :
- leurre crédible : faux document PDF, faux message d’erreur, faux bouton de mise à jour ;
- filtrage géographique : l’attaque s’arrête si la cible n’est pas en Espagne ou au Portugal ;
- charge utile cachée : usage d’une image pour masquer un ZIP et contourner certaines détections ;
- nettoyage des traces : suppression de fichiers temporaires après l’exécution ;
- objectif financier : vol d’identifiants bancaires et de sessions de connexion. (fortinet.com)
Infosecurity Magazine confirme que cette souche est issue d’une famille de trojans bancaires historiquement utilisée au Brésil, mais adaptée ici au contexte ibérique. Le média souligne aussi que l’analyse de Black Duck voit dans Ousaban une évolution optimisée de tactiques bancaires latino-américaines anciennes, plutôt qu’une menace entièrement nouvelle. C’est une nuance importante : la nouveauté ne vient pas du type d’attaque, mais de la combinaison d’astuces. (infosecurity-magazine.com)
Pourquoi cette campagne de hameçonnage mérite attention
Le premier risque est évident : ce type de hameçonnage vise des services bancaires et peut mener au détournement de comptes. Mais il y a aussi un risque opérationnel pour les équipes de sécurité. Une attaque qui s’auto-filtre selon la géographie génère moins d’échantillons exploitables, ce qui ralentit la rétro-ingénierie. De plus, l’usage d’un faux PDF et d’une image stéganographique brouille les pistes au moment de l’inspection des pièces jointes. (fortinet.com)
Pour les particuliers comme pour les entreprises, les signaux d’alerte restent pourtant très proches des campagnes de hameçonnage classiques :
- une pièce jointe inattendue qui demande une action immédiate ;
- un document qui prétend être endommagé ou incomplet ;
- un bouton “mettre à jour” ou “réparer” dans un fichier reçu par courriel ;
- une page web qui bloque l’accès sans raison claire ;
- une invitation à contourner une prétendue erreur technique. (fortinet.com)
La prudence est d’autant plus importante que les campagnes ciblées de ce type s’appuient souvent sur des messages plausibles, rédigés pour un public précis. Le simple fait qu’un document semble provenir d’une institution, d’un service fiscal ou d’un outil système ne suffit jamais à garantir sa légitimité. (fortinet.com)
Pour accompagner la veille, les lecteurs peuvent aussi consulter notre recherche interne sur le terme hameçonnage, utile pour retrouver nos autres analyses et conseils de prévention. Cette ressource peut être complétée par des règles de sécurité locales, car les campagnes observées évoluent rapidement et peuvent varier selon les pays. (fortinet.com)
En pratique, Fortinet recommande de renforcer le filtrage web, la détection comportementale et la sensibilisation aux pièces jointes inattendues. C’est cohérent avec ce que montre cette affaire : la défense ne repose pas sur un seul outil, mais sur plusieurs couches capables de bloquer le fichier, la page, l’exécution ou l’activité post-infection. (fortinet.com)
Conclusion pratique
Cette campagne d’hameçonnage liée à Ousaban rappelle qu’un faux PDF peut encore servir de point d’entrée très efficace, surtout lorsqu’il est combiné à des contrôles géographiques et à des techniques d’obfuscation. Les internautes doivent éviter d’ouvrir des documents inattendus, ne jamais cliquer sur un bouton de mise à jour intégré à un PDF, et vérifier toute demande liée à des services bancaires par un canal officiel. Les organisations, de leur côté, gagneront à surveiller les pièces jointes, à bloquer les exécutions suspectes et à renforcer la sensibilisation des employés. Les détails techniques rapportés par FortiGuard Labs sont solides, mais certains éléments de la campagne peuvent encore évoluer à mesure que les attaquants adaptent leurs méthodes. (fortinet.com)
Sources externes :
- FortiGuard Labs — Analysis of Ongoing Ousaban Attacks Targeting the Iberian Peninsula
- Infosecurity Magazine — Brazilian Banking Trojan Ousaban Targets Spain and Portugal
- The Hacker News — Ousaban Banking Trojan Targets Iberian Bank Users with Fake PDF Lures
Pour approfondir ce sujet, consultez aussi nos ressources sur hameçonnage.