Une PME textile attend un paiement de 92 000 EUR d'un client francais. Quelques jours avant l'échéance, la comptable du client recoit ce qui semble être un email du CEO italien avec PDF de facture mis à jour et nouvel IBAN 'suite à un changement de banque'.
Le paiement part vers un IBAN britannique tenu par une money mule recrutée en ligne. Les criminels avaient compromis commerciale@<entreprise>.it un mois plus tôt, lu les threads avec le client et choisi le bon moment. Ils utilisaient un domaine lookalike avec 'i' à la place de 'l'.
Mythos a analysé l'en-tête de l'email frauduleux : SPF fail, domaine enregistré 11 jours plus tôt, IP d'envoi sur VPS asiatique. L'analyse PDF a révélé même template avec métadonnées Adobe modifiées. Le dossier a permis le rappel SWIFT partiel et le blocage de 38 pourcent.