Les chercheurs de KnowBe4 ont analysé un nouveau kit de phishing qui vise Microsoft 365. Sa particularité est d'exploiter la connexion par code d'appareil sans jamais montrer de code, et de se jouer de la double authentification sur le vrai site de Microsoft.
Un phishing Microsoft 365 qui fait l'impasse sur le fameux code à recopier, c'est la trouvaille, aussi discrète qu'inquiétante, que les chercheurs de KnowBe4 ont faite, et qu'ils apprennent à Clubic ce mardi 10 novembre 2026. Ici, il n'y a pas de faux formulaire pour réclamer le mot de passe, pas d'adresse farfelue au moment de le saisir, non. Ici, l'internaute s'identifie sur le véritable site de Microsoft, comme on lui a toujours conseillé de le faire, valide sa double authentification et peut ainsi remettre, sans le savoir, l'accès à son compte aux cybercriminels.
Un phishing Microsoft 365 par code, mais sans le moindre code
Pour mesurer ce que ce kit de hameçonnage change, il faut revenir à la technique qu'il perfectionne, à savoir le phishing dit « par code d’'appareil ». Elle part en fait d'un geste tout à fait familier. Pour relier une smart TV à un compte, on tape souvent sur son téléphone un court code affiché à l'écran. Microsoft propose le même procédé pour les appareils sur lesquels saisir un mot de passe relève du supplice. Les escrocs l'ont retourné ! Ils lancent eux-mêmes la demande de connexion, obtiennent le code et convainquent leur cible de le valider sur le site officiel.
Le procédé n'est pas nouveau, mais il gagne du terrain depuis un peu plus de deux ans maintenant. En février 2025 par exemple, Microsoft dévoilait une campagne menée par un groupe baptisé Storm-2372, et un service de phishing clés en main, EvilTokens, en a fait commerce. Une fois la connexion approuvée, double authentification comprise, les pirates héritent de jetons d'accès, c'est-à-dire des laissez-passer numériques vers les e-mails et les fichiers Microsoft 365.
Jusqu'ici, toutes les variantes documentées passaient par la même étape, qui consistait à afficher le code et à demander à la victime de le recopier sur une page Microsoft dédiée. Une visite que les outils de détection ont appris à guetter. Le kit étudié par KnowBe4 s'en passe. Le code est bien généré en coulisses, valable quinze minutes, mais il ne s'affiche jamais. L'utilisateur, lui, se contente de se connecter.
Du faux accord de confidentialité au vrai portail Microsoft
Ça commence par un e-mail pressant, qui demande d'approuver un accord de confidentialité. Au départ, il n'y a rien de bien suspect, puisque le courrier électronique est expédié via Mandrill, le service de Mailchimp qu'utilisent de nombreuses entreprises pour envoyer leurs e-mails automatiques. Il franchit donc sans encombre les contrôles SPF, DKIM et DMARC, toutes ces vérifications d'identité qui s'assurent qu'un message vient bien d'un serveur autorisé et n'a pas été modifié en chemin. Donc parti d'une adresse à la réputation irréprochable, il échappe aussi aux filtres de messagerie des entreprises, qui se fient beaucoup à ce critère.
Le lien, lui, avance masqué. Il rebondit de redirection en redirection, surtout sur l'infrastructure de Cloudflare, franchit un vrai CAPTCHA et fait transiter les échanges en HTTP/3, un protocole récent que bien des outils d'inspection réseau lisent encore mal. La page d'arrivée vérifie enfin qu'elle n'a pas affaire à un analyste ou à un robot. Et au moindre doute, elle s'efface ou renvoie vers microsoft.com.
Le visiteur qui passe ce filtrage voit s'afficher une fausse vérification « Microsoft Defender », du nom de l'antivirus maison. Un petit cercle tourne moins d'une seconde puis s'efface. En réalité, rien n'a été contrôlé, c'est un simple décor pour rassurer. Un bouton propose ensuite de télécharger la pièce jointe, et lance la demande de connexion des pirates. Une page aux couleurs de Microsoft réclame alors la seule adresse e-mail de la victime, sous prétexte de vérifier son identité, puis la renvoie vers le véritable portail de connexion. Là, elle tape son mot de passe et valide avec l'application Microsoft Authenticator ou Windows Hello (visage, empreinte ou code PIN) : tout se déroule sur le site officiel.
La session était déjà ouverte, la double authentification n’y peut rien
Avant même que la victime ne tape quoi que ce soit, les pirates ont déjà ouvert une session de connexion chez Microsoft et en ont glissé les paramètres, invisibles, dans le code de leur page. Preuve à l'appui, les chercheurs ont retrouvé le même jeton de session, à l'octet près, sur la page piégée et sur le site de Microsoft. En allant au bout, la victime valide en réalité la demande des pirates.
Pour KnowBe4, ce mélange des genres n'avait encore jamais été observé. Le kit emprunte au phishing par code d'appareil, mais aussi aux attaques dites « de l'homme du milieu », dans lesquelles un faux site s'intercale entre la victime et le vrai service pour relayer leurs échanges en direct. Là, il n'y a pas d'intermédiaire, puisque la session est préparée en amont, et la victime s'adresse directement à Microsoft. Les outils de détection, qui guettent soit la page de saisie du code, soit ce fameux relais, n'ont donc rien à se mettre sous la dent. Même les passkeys et les clés de sécurité FIDO2, qui refusent de fonctionner sur un site d'imitation, ne bronchent pas, car l'adresse est bien celle de Microsoft.
Ces protections ne sont pas cassées pour autant, elles ne peuvent simplement pas, à elles seules, contrer toutes les attaques de ce genre, nuance KnowBe4, dont l'analyse menée en environnement de test ne fait état d'aucun compte piraté. Ses conseils sont de garder les anciennes détections, puisque le kit sait aussi afficher le code, de réserver la connexion par code aux employés qui en ont vraiment besoin, et de surveiller les demandes de ce type adressées à Microsoft Authentication Broker, sans bloquer cette application maison. Surtout, se demander si une connexion colle à ce qu'on est en train de faire. Un accord de confidentialité tombé du ciel ne passe pas le test.
