Une PME recoit ce qui semble être un email du fisc 'Remboursement F24 retenu - action requise dans 24h'. Logo parfait, ton formel, lien vers 'agenziaentrate-rimborsi.servizi-fiscali.cloud'.
La comptable suit le lien, saisit les identifiants du portail fiscal et un OTP SMS. En 12 heures les criminels emettent quatre delegations à un faux intermédiaire et exfiltrent les données TVA. Le CERT avait signalé le domaine 72 heures plus tôt.
L'analyse forensique a révélé : domaine enregistré 5 jours avant l'attaque chez un registrar offshore, SPF fail, DKIM absent, IP d'envoi liée à un hébergement bulletproof. Mythos a reconstruit la chaîne de preuves pour la plainte.