Quand un formulaire « Contactez-nous » devient « Contactez un cybercriminel »

L’équipe Threat Lab de KnowBe4 a identifié une nouvelle technique de phishing en pleine expansion : le Phishing formulaire web. Elle ne nécessite aucune compromission de compte et exploite un élément présent sur presque tous les sites web : le formulaire web « Contactez-nous ». Voici ce que l’on en retient

Depuis septembre 2025, les chercheurs de KnowBe4 observent ainsi une nouvelle méthode d’attaque. Les cybercriminels détournent les formulaires « Contactez-nous » présents sur les sites web des organisations. Ces formulaires déclenchent automatiquement une réponse et c’est précisément cette automatisation qu’ils exploitent.

La technique ne requiert pourtant ni compromission de compte ni compétences avancées. Elle permet néanmoins de lancer des campagnes de phishing à grande échelle, ciblant principalement les utilisateurs de Microsoft 365.

L’attaquant crée d’abord un compte gratuit « onmicrosoft » en imitant une marque légitime PayPal, par exemple. Il configure ensuite une règle qui transfère automatiquement tous les e-mails entrants vers des milliers de destinataires ciblés. Il remplit enfin un formulaire légitime sur le site d’une organisation.

La confirmation automatique générée arrive ainsi dans les boîtes des cibles comme un e-mail de confiance et passe souvent sous les radars des filtres anti-phishing.

Les secteurs juridique, bancaire, de la santé et de l’assurance sont les plus ciblés. La crédibilité des communications officielles dans ces domaines rend en effet ces attaques particulièrement efficaces.

L’alerte de KnowBe4 illustre une évolution inquiétante : les cybercriminels n’ont plus besoin de pirater un système pour en abuser. Ils exploitent donc désormais ses fonctionnalités légitimes.

Pour conclure les organisations doivent donc revoir leur approche et sensibiliser leurs équipes à ces nouvelles techniques qui contournent les défenses traditionnelles.