Sous couvert d’une prétendue mise à jour de passkey, des groupes cybercriminels piègent des salariés, récupèrent leurs sessions Microsoft 365 et fouillent ensuite SharePoint, OneDrive et Exchange à la recherche de données sensibles.
Conçues pour résister au phishing, les passkeys servent maintenant d’appât. Microsoft vient de lever le voile sur une campagne que ses équipes suivent depuis mai 2026, menée par des groupes cybercriminels liés à ShinyHunters et Helix pour piéger des salariés et prendre le contrôle de leurs comptes Microsoft 365. Sans exploiter de faille à proprement parler, les attaquants redirigent leurs victimes vers un faux portail d’authentification ou détournent un flux Microsoft légitime afin de récupérer leur session et d’accéder aux données de l’entreprise.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Une presque banale arnaque au faux support informatique
Au départ, rien de très neuf. Les attaquants se font passer pour le support informatique de l’entreprise visée et contactent directement leurs cibles, souvent sur leur téléphone personnel. Il faudrait prétendument reconfigurer en urgence une passkey, la MFA ou le SSO sous peine de perdre l’accès aux outils professionnels.
Pour renforcer la crédibilité de leur bobard, les attaquants se renseignent en amont sur les salariés, leur fonction et l’organisation de l’entreprise à partir de sources publiques, parmi lesquelles les réseaux sociaux et les plateformes professionnelles. Ils enregistrent en parallèle des domaines génériques évoquant la configuration ou la synchronisation des passkeys, auxquels ils peuvent greffer le nom de l’entreprise ciblée pour donner au faux portail des airs de service interne.
Le but n’est ici pas tant de voler un mot de passe que de mettre le grappin sur un accès déjà authentifié. Microsoft indique avoir observé deux façons d’y parvenir. Dans le premier cas, le faux portail s’intercale entre la victime et la vraie page de connexion, selon une attaque de type adversary-in-the-middle, ou AiTM, et intercepte les identifiants ainsi que le jeton de session après validation de la MFA.
Dans le second, les cybercriminels détournent l’authentification par code d’appareil. La victime atterrit sur une vraie page Microsoft, y saisit le code communiqué par le faux support et valide sans le savoir une demande de connexion lancée par le pirate, qui récupère alors un jeton d’accès valide.
Une fois connectés, les attaquants passent au crible les applications et ressources auxquelles ils ont accès, exploitent Microsoft Graph pour recenser utilisateurs, groupes, rôles, sites SharePoint, fichiers OneDrive, mails et pièces jointes, et configurent leur propre méthode MFA pour garder la main sur le compte le plus longtemps possible. Une partie de cette reconnaissance et de la collecte est automatisée, sans pour autant virer au pillage éclair : Microsoft a vu les opérations s’étaler sur plusieurs heures, voire plusieurs jours, à raison de moins de 1 000 fichiers ou mails consultés par heure pour mieux se fondre dans l’activité normale d’un compte professionnel.
ShinyHunters et Helix dans le viseur de Microsoft
Microsoft ne rattache pas toutes ces intrusions à un seul groupe. Ses équipes ont notamment identifié Storm-3121, dont les accès alimentent des opérations d’extorsion liées à ShinyHunters et Falcon, ainsi que Storm-3032, formé par d’anciens membres de BlackFile aujourd’hui actifs sous la bannière Helix. D’autres acteurs du même écosystème emploient des méthodes comparables.
Pour les salariés, le principal réflexe consiste à se méfier de toute demande inattendue du support concernant une passkey, la MFA ou le SSO, en particulier lorsqu’elle arrive sur un téléphone personnel. Une vraie page Microsoft ne garantit pas non plus que la procédure soit légitime : dans le cas du device code, c’est justement sur le site officiel que la victime valide la connexion initiée par le pirate. Si un interlocuteur vous transmet un code à saisir ou vous presse de modifier vos réglages d’authentification, il faut vérifier sa demande en contactant le support par les canaux habituels de l’entreprise.
Côté administration, Microsoft recommande de privilégier les méthodes MFA résistantes au phishing, dont les passkeys FIDO2 et Windows Hello for Business, et de bloquer l’authentification par code d’appareil lorsqu’elle n’est pas nécessaire. L’éditeur conseille aussi de surveiller les nouvelles méthodes MFA enregistrées après une connexion inhabituelle, ainsi que les accès soutenus à Microsoft Graph, SharePoint, OneDrive ou Exchange. En cas de compromission, il faut révoquer immédiatement les sessions et jetons actifs, réinitialiser les identifiants et supprimer les méthodes d’authentification ajoutées par les attaquants.
