Bitdefender Labs dévoile les arnaques d'Halloween qui inondent vos boîtes mail

Chaque année en octobre, les boîtes mail et les réseaux sociaux regorgent d'offres spéciales, de cadeaux et de promotions effrayantes. Mais derrière les citrouilles et les promesses de friandises gratuites, les cybercriminels sont à l'œuvre.

Un thème, de nombreux pièges : des escroqueries sur tous les canaux

Les escroqueries sur le thème d'Halloween ne se limitent pas à un seul canal ou à un seul public. Les recherches menées par Bitdefender Labs montrent que les cybercriminels combinent plusieurs tactiques frauduleuses en une seule vague saisonnière, jetant un large filet qui cible presque tous les types d'utilisateurs d'Internet.

Dans les campagnes de cette année, les escrocs ne se sont pas cantonnés à une seule formule. Ils ont mélangé de fausses ventes au détail, des bonus en cryptomonnaie, des cadeaux de marque et même des appâts pour des rencontres, le tout enveloppé dans des images d'Halloween conçues pour attirer l'attention.

Entre le 15 septembre et le 15 octobre 2025, les chercheurs de Bitdefender Labs ont détecté une recrudescence mondiale des campagnes de phishing et d'escroquerie sur le thème d'Halloween, allant des e-mails d'appât aux publicités sponsorisées sur les réseaux sociaux distribuant des logiciels malveillants.

Voici ce qu'ils ont découvert.

Escroqueries par e-mail : quand les « friandises gratuites » cachent un piège

Bitdefender Antispam Lab a signalé des e-mails conçus pour imiter des marques telles que Walmart, Amazon et Home Depot, promettant des boîtes de bonbons, des décorations de squelettes ou des costumes gratuits.

À première vue, ils semblent légitimes, mais ces messages mènent directement à des pages de phishing et à des sites web frauduleux. Selon la télémétrie de Bitdefender :

• 37 % des spams sur le thème d'Halloween étaient des appâts marketing inoffensifs.
• 63 % étaient des tentatives de phishing ou des escroqueries visant à voler des identifiants ou de l'argent.

Qui est le plus effrayé ?

Nos données montrent que les États-Unis ont reçu 73 % de tous les spams sur le thème d'Halloween, suivis par l'Allemagne (13 %) et l'Irlande (6 %). Des volumes plus faibles ont atteint le Royaume-Uni, la Roumanie, l'Australie, l'Italie, le Canada et la France.

Du côté des expéditeurs, 67 % de tous les spams d'Halloween provenaient de serveurs situés aux États-Unis, suivis par l'Allemagne, Singapour, la Lettonie et les Pays-Bas.

Voici quelques exemples d'objets de courriels populaires :

• Réclamez votre paquet de bonbons d'Halloween gratuit chez Walmart.
• Votre mise à niveau de friandises d'Halloween est prête.
• Cadeau Home Depot – Squelette géant effrayant.
• Aujourd'hui seulement : squelette géant gratuit.
• Réclamez votre vache fantôme métallique gratuite chez Walmart.
• Exklusive Amazon-Prämie.
• Ihre Chance, ein brandneues Halloweenkostüm zu kreieren !
• Recevez un pack varié de bonbons d'Halloween gratuit
• Le plaisir d'Halloween commence avec ce cadeau
• Cadeau Walmart – Vache fantôme hantée

Ces objets accrocheurs utilisent la promesse d'articles gratuits, d'offres à durée limitée ou de cadeaux exclusifs pour inciter les destinataires à ouvrir les e-mails et à cliquer sur des liens malveillants. Beaucoup usurpent l'identité de marques connues pour gagner en crédibilité et exploiter l'engouement saisonnier.

Les arnaques derrière les objets

• Arnaque au pack de bonbons Walmart : les victimes sont informées qu'elles ont gagné un « pack varié pour Halloween ». En cliquant sur le lien, elles sont redirigées vers une fausse page qui recueille leurs informations personnelles et bancaires.
• Sondage Amazon sur les costumes : de faux sondages promettent des « réductions exclusives pour Halloween » ou des « costumes gratuits ». Le véritable objectif est de voler les identifiants Amazon et les informations de paiement associées.
• Cadeau « Giant Skelly » de Home Depot : offre une décoration squelette de 3,6 mètres, un produit très populaire, pour inciter les utilisateurs à remplir de faux sondages et à payer les frais d'expédition.
• « Metal Ghost Cow » de Walmart : inclut du texte caché sur la « photosynthèse » (une technique classique de contournement des filtres anti-spam) tout en redirigeant les destinataires vers des sites frauduleux.
• Spam de rencontre « Spook-tacular Singles » : utilise des images d'Halloween et de faux profils pour attirer les utilisateurs dans des pièges d'abonnement.

Les chercheurs de Bitdefender ont également repéré une campagne régionale au Japon faisant la promotion d'une fausse « loterie jumbo d'Halloween ».
L'e-mail affirmait que les utilisateurs pouvaient recevoir 22 billets de loterie gratuits d'une valeur de 6 600 yens simplement en s'inscrivant ou en se connectant au « site web officiel de la loterie ». Les instructions semblaient légitimes et imitaient même le ton et le format d'une véritable campagne.

Le lien Meta : de fausses publicités et des logiciels malveillants déguisés en cadeaux d'Halloween

Bitdefender Labs a également découvert un réseau de publicités malveillantes sur le thème d'Halloween diffusées sur les plateformes Meta (Facebook et Instagram), où des escrocs achetaient des emplacements sponsorisés pour promouvoir des offres frauduleuses et même des logiciels malveillants.

Publicités frauduleuses TradingView sur le thème d'Halloween

De fausses publicités sponsorisées promettaient aux utilisateurs de cryptomonnaies deux « cadeaux d'Halloween » :

• Un abonnement Premium TradingView d'un an
• 150 USDC (cryptomonnaie Tether)

Lorsque les utilisateurs cliquaient, ils étaient redirigés vers de faux domaines de téléchargement tels que desktopappdownload.com, des sites distribuant des logiciels malveillants à plusieurs niveaux déguisés en outils de trading légitimes.

Bitdefender Labs suit ce logiciel malveillant depuis avril 2025, à la suite d'une vaste campagne de malvertising qui utilisait l'usurpation massive de marques d'échanges de cryptomonnaies et de plateformes de trading de confiance telles que Binance et TradingView.

La chaîne d'infection est très sophistiquée et fonctionne en plusieurs étapes, comme expliqué précédemment ici. Les charges utiles supplémentaires déposées silencieusement après le téléchargement par la victime de l'application infectée par un cheval de Troie sont conçues pour voler les cookies du navigateur, les jetons d'authentification et les données du portefeuille de cryptomonnaie. Le logiciel malveillant se connecte également à un serveur de commande et de contrôle (C2) qui lui permet de recevoir des mises à jour ou de nouveaux modules, permettant l'exfiltration de données et un accès persistant. Le logiciel malveillant dispose également d'une détection de sandbox, de mécanismes d'évasion et de mises à jour fréquentes du code, ce qui témoigne d'un développement actif et d'une portée mondiale.

Les données de transparence de Meta ont révélé que la campagne ciblait les utilisateurs européens (Bulgarie, Croatie, Roumanie, Slovaquie, Slovénie) âgés de 18 à 65 ans et plus, confirmant ainsi sa précision régionale et son large ciblage par âge.

Même lorsque Meta a signalé et supprimé certaines publicités pour « non-respect des exigences de transparence », des doublons sont réapparus sous de nouveaux comptes quelques heures plus tard.

Fausses publicités de vente au détail : usurpations d'identité de Deichmann et Steve Madden

D'autres publicités frauduleuses sur le thème d'Halloween utilisaient des marques de mode pour attirer les consommateurs avec des offres « jusqu'à 80 % de réduction ».

• Une fausse publicité Deichmann redirigeait les acheteurs vers une boutique en ligne clonée qui collectait les données de paiement.
• Une publicité « Steve Madden Bag Sale » attirait également les acheteurs imprudents avec des sacs à main à 3,99 $. Une fois que les utilisateurs ont cliqué sur le lien, ils ont été redirigés vers un faux site web.

Les deux domaines utilisaient des photos de produits volées et d'autres images de marque.

Pourquoi les escrocs adorent Halloween

Les périodes de fêtes sont propices aux cybercriminels pour plusieurs raisons :

• Les consommateurs s'attendent à des promotions, ce qui réduit leur scepticisme.
• Les marques intensifient leur marketing, ce qui facilite l'usurpation d'identité.
• Les émotions telles que l'urgence, la récompense et la confiance poussent à cliquer de manière impulsive.
• Les réseaux publicitaires et les filtres de messagerie sont inondés de campagnes légitimes, ce qui permet aux acteurs malveillants de se fondre dans la masse.

Qu'il s'agisse d'un faux cadeau, d'une offre cryptographique « réservée à Windows » ou d'une remise trop belle pour être vraie, l'objectif est le même : collecter des données, installer des logiciels malveillants et en tirer profit avant d'être détecté.

Comment se protéger des escroqueries d'Halloween

• Ne cliquez pas sur les liens saisonniers « récompense » ou « cadeau » dans les e-mails ou les publications sur les réseaux sociaux.
• Vérifiez les domaines et les URL des expéditeurs. Les détaillants et les plateformes officiels n'utilisent jamais de sous-domaines aléatoires ou d'adresses e-mail sans rapport.
• Évitez les téléchargements à partir de publicités. Les plateformes de trading ou les détaillants ne distribuent pas d'installateurs via des publications Meta sponsorisées.
• Vérifiez les messages suspects à l'aide de Bitdefender Scamio, un détecteur d'escroqueries gratuit alimenté par l'IA qui vérifie les liens, les e-mails et les captures d'écran. Vérifiez les liens avec Bitdefender Link Checker.
• Activez l'antispam et la protection en temps réel de Bitdefender pour bloquer automatiquement les sites de phishing, d'usurpation d'identité et les charges utiles malveillantes avant qu'ils ne vous atteignent.

Des fausses boîtes de bonbons aux faux cadeaux cryptographiques, Halloween 2025 prouve que les escrocs sont toujours aussi créatifs. Leurs leurres s'adaptent peut-être à la saison, mais leurs motivations restent les mêmes : inciter les utilisateurs à divulguer des données, à donner de l'argent ou à leur donner accès à leurs appareils. En matière de sécurité en ligne, les menaces les plus effrayantes de cet Halloween ne sont donc pas surnaturelles, mais bien issues de l'ingénierie sociale.

Procurez-vous la suite de sécurité tout-en-un Bitdefender pour vous protéger contre toutes les menaces d'Halloween que vous pourriez rencontrer en ligne sans le savoir.