Phishing massif depuis bc.googleusercontent.com : une hausse inquiétante des attaques

Une recrudescence détectée par les équipes SOC MailSecure

Les équipes SOC MailSecure constatent depuis plusieurs mois une augmentation significative des campagnes de phishing provenant d’infrastructures associées à bc.googleusercontent.com.
Ce phénomène n’est plus marginal : il s’inscrit désormais dans des campagnes massives, industrialisées, ciblant aussi bien les collectivités que les entreprises privées.

Ce point est particulièrement critique pour les DSI car ces emails ne proviennent pas d’infrastructures historiquement malveillantes, mais de services cloud légitimes, rendant leur détection « plus complexe ».

Des analyses externes qui confirment la tendance

Plusieurs organismes de cybersécurité et CERT ont publié des alertes concernant l’utilisation abusive des infrastructures Google Cloud dans des campagnes de phishing.

Des universités et centres de sécurité européens ont notamment signalé une explosion des attaques provenant de sous-domaines googleusercontent.com, allant jusqu’à recommander leur blocage dans certains contextes.

Par ailleurs, des acteurs de la cybersécurité ont documenté des campagnes exploitant :

• Google Cloud Compute Engine (VM avec reverse DNS googleusercontent)
• Google Cloud Storage (hébergement de pages frauduleuses)
• Services d’automatisation Google pour l’envoi d’emails à grande échelle

Ces attaques ciblent principalement :

• Microsoft 365 (vol d’identifiants)
• Faux messages de sécurité
• Notifications de documents ou colis
• Alertes de compte bloqué

Pourquoi bc.googleusercontent.com est utilisé par les attaquants

1. Une infrastructure légitime et de confiance

Le domaine googleusercontent.com est utilisé par Google pour ses services cloud.
Le sous-domaine bc.googleusercontent.com correspond généralement à des reverse DNS par défaut de machines virtuelles Google Compute Engine.

connect from xx.xx.xx.xx.bc.googleusercontent.com[xx.xx.xx.xx]
2026-xx-xxT10:33:18.673318+02:00 mx03 mailsecure/smtpd[2759429]: Anonymous TLS connection established from xx.xx.xx.xx.bc.googleusercontent.com[xx.xx.xx.xx]: TLSv1.3 with cipher TLS_AES_256_GCM_SHA384 (256/256 bits) key-exchange X25519 server-signature RSA-PSS (2048 bits) server-digest SHA256
2026-04-24T10:33:18.960599+02:00 mx01 postfix/smtpd[2759429]: EA6F5140211: client=xx.xx.xx.xx.bc.googleusercontent.com[xx.xx.xx.xx]

Concrètement, cela signifie que n’importe quel attaquant peut :

• Créer une VM sur Google Cloud
• Envoyer des emails depuis cette VM
• Bénéficier d’une réputation initiale correcte

Pour les systèmes de filtrage basiques, l’origine Google peut apparaître comme fiable.

2. Contournement des mécanismes classiques

Les campagnes observées utilisent des techniques avancées :

• SPF/DKIM parfois valides ou neutres
• Hébergement des pages malveillantes sur des services Google
• Multiples redirections (Google → Google → site frauduleux)
• CAPTCHA ou pages intermédiaires pour tromper les scanners

Résultat : les filtres traditionnels basés uniquement sur la réputation IP ou domaine deviennent inefficaces.

3. Industrialisation des attaques

L’utilisation de Google Cloud permet aux attaquants de :

• Déployer rapidement des centaines d’instances
• Changer d’IP régulièrement
• Éviter les blocages durables

On passe d’un phishing artisanal à un phishing industrialisé basé sur des infrastructures cloud.

Un faux sentiment de sécurité pour les utilisateurs

Pour les utilisateurs finaux, la présence de Google dans le parcours (email, lien ou redirection) renforce la crédibilité de l’attaque.

C’est un levier psychologique puissant :

• “C’est Google, donc c’est fiable”
• URLs en googleusercontent.com
• Pages visuellement légitimes

Ce facteur augmente significativement les taux de compromission.

Pourquoi les solutions classiques échouent

Les solutions traditionnelles présentent plusieurs limites face à ce type d’attaque :

• Confiance excessive dans les grandes plateformes cloud
• Analyse insuffisante des redirections
• Manque de corrélation entre IP, domaine, contenu et comportement
• Dépendance à des bases de réputation trop lentes à réagir

Dans ce contexte, bloquer uniquement sur domaine ou IP n’est plus suffisant.

MailSecure : une approche multicritère pour bloquer ces attaques

Face à ces nouvelles menaces, MailSecure adopte une approche radicalement différente.

1. Analyse comportementale avancée

MailSecure ne se contente pas d’identifier l’origine Google.
La solution analyse :

• Le comportement d’envoi
• Les volumes
• Les patterns de campagne
• Les anomalies dans les flux

2. Corrélation des signaux de sécurité

Le moteur MailSecure croise plusieurs couches :

• RBL propriétaire (analyse des flux en temps réel)
• RHSBL (blocage des domaines et sous-domaines malveillants)
• SenderBL (analyse des expéditeurs)
• Vérification SPF, DKIM, DMARC
• Analyse sémantique des emails

Cette corrélation permet de détecter une attaque même si l’infrastructure est légitime.

3. Analyse des URLs et des redirections

MailSecure inspecte :

• Les chaînes de redirection
• Les liens hébergés sur des services cloud
• Les comportements suspects (multi-hop, obfuscation)

C’est un point clé face aux attaques utilisant Google comme relais.

4. Intelligence artificielle et détection des phishing modernes

Le filtrage MailSecure intègre des mécanismes avancés de détection :

• Analyse du contenu et du contexte
• Détection des tentatives d’usurpation
• Identification des scénarios de phishing connus

Même si le domaine est “propre”, le message est bloqué sur son intention.

Ce que doivent retenir les DSI

• Un domaine Google n’est plus un indicateur de confiance
• Les attaques exploitent des infrastructures cloud légitimes
• Les filtres basés uniquement sur la réputation sont obsolètes
• Une approche multicritère est indispensable

Conclusion

Les campagnes de phishing provenant de bc.googleusercontent.com illustrent une évolution majeure des menaces : l’utilisation d’infrastructures cloud légitimes pour contourner les défenses traditionnelles.

Dans ce contexte, seules les solutions capables d’analyser en profondeur les comportements, les contenus et les corrélations entre signaux peuvent offrir une protection efficace.

MailSecure s’inscrit pleinement dans cette approche en apportant un niveau de détection avancé, adapté aux attaques modernes.