Le site « Based Apparel » de Kash Patel coupé après une tentative d’infection par malware

Le site de merchandising Based Apparel, associé au directeur du FBI Kash Patel, a été mis hors ligne en mai 2026 après des signalements indiquant que des pirates l’avaient compromis pour tenter d’infecter les visiteurs avec un malware destiné à voler leurs identifiants. Les chercheurs en cybersécurité expliquent que l’attaque reposait sur une fausse page de vérification destinée à inciter les utilisateurs à exécuter eux‑mêmes une commande malveillante.

Une boutique en ligne soudainement inaccessible

La boutique vendant des vêtements et produits liés à Patel a été désactivée après des informations indiquant qu’elle avait été détournée par des attaquants distribuant un infostealer — un type de logiciel malveillant conçu pour récupérer mots de passe, données de navigateur et autres identifiants sensibles.

Selon les premiers rapports, la mise hors ligne du site semble avoir été une mesure de confinement après que la compromission a été rendue publique et analysée par des chercheurs.

Durant la période de piratage, les visiteurs ne voyaient plus la boutique habituelle : ils étaient redirigés vers une page de vérification suspecte.

L’alerte initiale venue d’un utilisateur de X

Le problème est apparu publiquement lorsqu’un utilisateur du réseau social X, connu sous le nom de « Debbie », a signalé que le site semblait contenir un malware. Ce message a rapidement attiré l’attention de journalistes et de spécialistes de la sécurité.

Après examen, des chercheurs ont confirmé que le site affichait un comportement anormal correspondant à une campagne de diffusion de malware.

Le piège de la fausse vérification Cloudflare

L’analyse a révélé que le site compromis présentait une fausse page de vérification imitant Cloudflare. Normalement, ces pages servent à filtrer le trafic automatisé et protéger les sites contre les bots. Ici, elles avaient été modifiées pour mener une attaque d’ingénierie sociale.

La page indiquait aux visiteurs que leur adresse IP avait été signalée pour « activité web irrégulière ». Pour continuer, les utilisateurs devaient copier une commande fournie et la coller dans le terminal de leur ordinateur.

C’était le piège : l’exécution de cette commande installait en réalité le malware.

Cette technique correspond à ce que les spécialistes appellent une attaque “ClickFix”, une méthode d’ingénierie sociale où les victimes sont incitées à exécuter manuellement une commande malveillante présentée comme une étape de vérification légitime.

Ce que fait un infostealer

Le logiciel malveillant distribué via le site serait un infostealer. Ce type de programme vise à collecter discrètement des informations sensibles sur les machines infectées, notamment :

• identifiants et mots de passe
• cookies de navigateur
• données enregistrées dans les formulaires automatiques
• parfois des informations liées à des portefeuilles de cryptomonnaies

Ces données sont ensuite envoyées aux attaquants, qui peuvent les exploiter directement ou les revendre sur des marchés clandestins.

Un autre incident de sécurité la même semaine

Le piratage de Based Apparel est survenu la même semaine qu’un autre problème de cybersécurité impliquant une entreprise liée à Donald Trump, mais les deux affaires ne sont pas liées.

L’opérateur téléphonique Trump Mobile a confirmé que des données de clients étaient accessibles publiquement sur Internet. Les informations exposées comprenaient des noms, adresses e‑mail, adresses postales, numéros de téléphone et identifiants de commande.

L’entreprise a indiqué enquêter sur l’incident et ne pas avoir trouvé de preuve que des informations financières aient été divulguées.

Les deux événements illustrent des failles de sécurité différentes :

• Based Apparel : un site compromis pour diffuser activement un malware aux visiteurs.
• Trump Mobile : une exposition de données où des informations personnelles étaient accessibles en ligne.

Dans les deux cas, ces incidents ont relancé les questions sur les pratiques de cybersécurité autour de services commerciaux liés à des personnalités politiques très médiatisées.

Pourquoi le site a été désactivé

Mettre un site hors ligne est une réaction courante après une compromission. Cela permet notamment de :

• empêcher de nouveaux visiteurs d’être exposés au malware
• analyser l’origine de l’intrusion
• supprimer le code malveillant et sécuriser le système avant une remise en ligne

Au moment des premiers rapports, la boutique restait indisponible pendant l’enquête et les opérations de nettoyage.

Une attaque basée sur la manipulation des utilisateurs

Ce qui rend cette attaque notable n’est pas seulement le piratage du site, mais surtout la stratégie d’ingénierie sociale utilisée. Au lieu d’exploiter directement une faille technique du navigateur, les pirates ont tenté de convaincre les utilisateurs d’exécuter eux‑mêmes la commande malveillante.

Ce type d’approche devient de plus en plus courant : si l’utilisateur lance volontairement une commande, les systèmes de sécurité peuvent considérer l’action comme légitime.

L’incident rappelle donc qu’une simple page de vérification — CAPTCHA ou écran Cloudflare — peut être détournée pour servir de vecteur d’attaque dans des campagnes sophistiquées de phishing et de diffusion de malware.