// CLUBIC — CYBERSECURITY
Gare à ce phishing Microsoft 365 qui vous fait vous connecter sur le vrai site… pour le compte des pirates
Les chercheurs de KnowBe4 ont analysé un nouveau kit de phishing qui vise Microsoft 365. Sa particularité est d'exploiter la connexion par code d'appareil sans jamais montrer de code, et de se jouer de la double authentification sur le vrai site de Microsoft.
Un phishing Microsoft 365 qui fait l'impasse sur le fameux code à recopier, c'est la trouvaille, aussi discrète qu'inquiétante, que les chercheurs de KnowBe4 ont faite, et qu'ils apprennent à Clubic ce mardi 10 novembre 2026. Ici, il n'y a pas de faux formulaire pour réclamer le mot de passe, pas d'adresse farfelue au moment de le saisir, non. Ici, l'internaute s'identifie sur le véritable site de Microsoft, comme on lui a toujours conseillé de le faire, valide sa double authentification et peut ainsi remettre, sans le savoir, l'accès à son compte aux cybercriminels.
Pour mesurer ce que ce kit de hameçonnage change, il faut revenir à la technique qu'il perfectionne, à savoir le phishing dit « par code d’'appareil ». Elle part en fait d'un geste tout à fait familier. Pour relier une smart TV à un compte, on tape souvent sur son téléphone un court code affiché à l'écran. Microsoft propose le même procédé pour les appareils sur lesquels saisir un mot de passe relève du supplice. Les escrocs l'ont retourné ! Ils lancent eux-mêmes la demande de connexion, obtiennent le code et convainquent leur cible de le valider sur le site officiel.
Le procédé n'est pas nouveau, mais il gagne du terrain depuis un peu plus de deux ans maintenant. En février 2025 par exemple, Microsoft dévoilait une campagne menée par un groupe baptisé Storm-2372, et un service de phishing clés en main, EvilTokens, en a fait commerce. Une fois la connexion approuvée, double authentification comprise, les pirates héritent de jetons d'accès, c'est-à-dire des laissez-passer numériques vers les e-mails et les fichiers Microsoft 365.
Jusqu'ici, toutes les variantes documentées passaient par la même étape, qui consistait à afficher le code et à demander à la victime de le recopier sur une page Microsoft dédiée. Une visite que les outils de détection ont appris à guetter. Le kit étudié par KnowBe4 s'en passe. Le code est bien généré en coulisses, valable quinze minutes, mais il ne s'affiche jamais. L'utilisateur, lui, se contente de se connecter.
Ça commence par un e-mail pressant, qui demande d'approuver un accord de confidentialité. Au départ, il n'y a rien de bien suspect, puisque le courrier électronique est expédié via Mandrill, le service de Mailchimp qu'utilisent de nombreuses entreprises pour envoyer leurs e-mails automatiques. Il franchit donc sans encombre les contrôles SPF, DKIM et DMARC, toutes ces vérifications d'identité qui s'assurent qu'un message vient bien d'un serveur autorisé et n'a pas été modifié en chemin. Donc parti d'une adresse à la réputation irréprochable, il échappe aussi aux filtres de messagerie des entreprises, qui se fient beaucoup à ce critère.
Le lien, lui, avance masqué. Il rebondit de redirection en redirection, surtout sur l'infrastructure de Cloudflare, franchit un vrai CAPTCHA et fait transiter les échanges en HTTP/3, un protocole récent que bien des outils d'inspection réseau lisent encore mal. La page d'arrivée vérifie enfin qu'elle n'a pas affaire à un analyste ou à un robot. Et au moindre doute, elle s'efface ou renvoie vers microsoft.com.
Le visiteur qui passe ce filtrage voit s'afficher une fausse vérification « Microsoft Defender », du nom de l'antivirus maison. Un petit cercle tourne moins d'une seconde puis s'efface. En réalité, rien n'a été contrôlé, c'est un simple décor pour rassurer. Un bouton propose ensuite de télécharger la pièce jointe, et lance la demande de connexion des pirates. Une page aux couleurs de Microsoft réclame alors la seule adresse e-mail de la victime, sous prétexte de vérifier son identité, puis la renvoie vers le véritable portail de connexion. Là, elle tape son mot de passe et valide avec l'application Microsoft Authenticator ou Windo