Selon des informations récentes rendues publiques notamment par Microsoft, une vaste opération coordonnée impliquant Europol et plusieurs services répressifs nationaux, dont la Federal Computer Crime Unit (FCCU) belge, a permis de démanteler la plateforme d'hameçonnage Tycoon 2FA. Cette infrastructure criminelle, active depuis août 2023, permettait à des cybercriminels - y compris peu expérimentés - de mener des attaques sophistiquées en contournant les systèmes d'authentification multifacteur (MFA), pourtant censés renforcer la sécurité des utilisateurs. Elle aurait fait plus de 96.000 victimes dans le monde, dont environ 500 en Belgique. Les attaques ciblaient notamment des particuliers, mais aussi des institutions sensibles telles que des hôpitaux, des centres de recherche et des autorités publiques. Plus de 30 millions de messages frauduleux auraient été envoyés pour le seul mois de novembre 2025. Si le démantèlement de cette plateforme constitue une avancée importante dans la lutte contre la cybercriminalité, les conséquences pour les victimes - pertes financières, atteintes à la vie privée, compromission de données sensibles - demeurent particulièrement préoccupantes. 1. Les autorités disposent-elles d'une estimation plus précise du nombre de victimes belges affectées par les activités de Tycoon 2FA? Une typologie des victimes (particuliers, entreprises, institutions publiques) a-t-elle été établie? Des SPF ont-ils été victimes des activités de Tycoon 2FA? 2. Quelles mesures concrètes ont été mises en place pour informer et accompagner les victimes identifiées en Belgique (assistance juridique, technique, psychologique)? Les victimes bénéficient-elles d'un point de contact unique, notamment via le Centre pour la Cybersécurité Belgique ou la FCCU? Existe-t-il des dispositifs spécifiques pour les institutions critiques telles que les hôpitaux ou centres de recherche? 3. Quelles actions ont été entreprises pour sensibiliser les citoyens et les organisations aux nouvelles formes d'hameçonnage capables de contourner la MFA? Des recommandations spécifiques ont-elles été diffusées concernant l'usage sécurisé des services tels que Microsoft 365 ou Gmail? 4. Quelle a été la contribution spécifique des autorités belges dans cette opération coordonnée par Europol? Les autorités belges sont-elles impliquées dans les procédures judiciaires visant les suspects identifiés à l'étranger? Des mesures structurelles sont-elles envisagées au niveau européen pour prévenir la réémergence de plateformes similaires?
B051
1 et 2. À ce stade, le Centre pour la Cybersécurité Belgique (CCB) n'a reçu aucune information relative à d'éventuelles victimes belges dans le cadre de cette opération coordonnée par Europol concernant Tycoon 2FA. En 2025, le CCB a seulement reçu une notification établissant spécifiquement un lien entre la plateforme de phishing-as-a-service Tycoon 2FA et un incident signalé en Belgique. Dans ce cas précis, l'impact est resté limité. 3. Le CCB a mis à disposition, via le portail atwork.safeonweb.be de son système d'alerte précoce (Early Warning System - EWS), trois rapports trimestriels sur les menaces mentionnant explicitement la menace "Tycoon 2FA". L'EWS fournit des alertes rapides et ciblées concernant des vulnérabilités et des menaces spécifiques. Ce système est actuellement accessible aux secteurs vitaux et critiques relevant de la directive NIS1, ainsi qu'aux secteurs essentiels concernés par la législation NIS2. Par ailleurs, des indicateurs techniques (IoCs) ont été partagés via la plateforme MISP du CCB. Cette plateforme open source permet la collecte, l'analyse et le partage structuré et sécurisé de renseignements sur les menaces. Les entités connectées à l'EWS ont accès par défaut à la plateforme MISP, tandis que les autres organisations belges peuvent obtenir cet accès sur demande. Le CCB continue d'encourager fortement le recours à l'authentification multifactorielle (2FA). Lorsqu'elle est correctement implémentée, elle constitue une barrière essentielle contre les compromissions, y compris dans un contexte d'augmentation des fuites d'identifiants. Le CCB fait remarquer que nombre d'incidents en Belgique ces dernières années auraient pu être évités grâce à une mise en oeuvre robuste de cette mesure, qui doit être intégrée par défaut (by design). À titre d'exemple, l'activation de la 2FA est obligatoire pour tout accès au portail EWS. Enfin, au-delà de cette menace spécifique, les recommandations générales de vigilance face au phishing restent pleinement d'application et demeurent essentielles. 4. Le CCB n'a pas été impliqué directement dans cette opération coordonnée par Europol, ni dans les procédures judiciaires visant les suspects identifiés à l'étranger. Indépendamment de cette opération, le CCB procède de manière régulière à des échanges d'informations techniques avec ses partenaires et constituants. Dans ce cadre, des indicateurs de compromission (IoCs) relatifs à Tycoon 2FA ont été partagés via la plateforme MISP dans le passé. Le CCB gère une instance MISP nationale dédiée à la protection des intérêts belges, alimentée notamment par des sources publiques structurées, des partenaires internationaux, des alertes stratégiques et opérationnelles ainsi que des indicateurs issus d'incidents observés en Belgique. Les IoCs diffusés sont issus de sources spécialisées et font l'objet d'un enrichissement préalable afin de soutenir efficacement la détection et la prévention des incidents.