Microsoft 365 : la passkey sert d'appât, pas de brèche

6 min de lecture Johannes Daguer Tessema

  • Hameçonnage
  • Microsoft 365
  • Authentification
Un employé répond au téléphone à son bureau : l'attaque commence par un faux appel du support, pas par un courriel.

Le portable personnel d’un salarié sonne. Au bout du fil, « le support informatique » : sa clé d’accès doit être mise à jour tout de suite, faute de quoi il perdra l’accès à sa messagerie. Un SMS suit, avec un lien.

C’est le scénario que Microsoft Threat Intelligence décrit dans un rapport publié le 9 septembre 2026, à partir d’intrusions observées depuis mai. Lu trop vite, un titre comme celui de Clubic, où des pirates « détournent les passkeys », laisse croire que la clé d’accès a cédé. Le rapport dit presque l’inverse. Et la nuance change ce qu’une entreprise doit vérifier.

Ce que Microsoft a observé

La clé d’accès (passkey, en anglais) n’est pas la cible. Selon Microsoft, en enregistrer une n’est souvent pas ce que cherche l’attaquant : le thème sert de prétexte convaincant pour conduire la victime vers l’une de deux voies.

Le faux portail relais. Le lien mène à une page qui imite la connexion Microsoft, sur un domaine accolant le nom de l’entreprise visée à des mots comme passkey ou SSO. Placée entre la victime et le vrai service, la page relaie identifiants et second facteur. On parle d’attaque de l’intercepteur, ou AiTM (adversary-in-the-middle).

Le code d’appareil. La victime est guidée vers une page Microsoft authentique pour y saisir un code fourni par l’attaquant. Ce mécanisme légitime sert à connecter un appareil incapable d’afficher une page de connexion. Détourné, il remet à l’attaquant un accès au compte.

Une fois entrés, les attaquants inscrivent leurs propres méthodes d’authentification pour revenir : application d’authentification, jeton logiciel, numéro de téléphone. La liste dressée par Microsoft ne comporte aucune clé d’accès. Suivent un repérage de l’annuaire par Microsoft Graph (utilisateurs, groupes, rôles, applications), puis la collecte de documents dans SharePoint Online et OneDrive, et de courriels dans Exchange Online. Le rythme est calculé : moins de 1 000 fichiers ou messages par heure, sur des heures ou des jours, pour se fondre dans l’activité normale.

Pourquoi la clé d’accès tient, et où elle ne suffit pas

Une clé d’accès est liée cryptographiquement au domaine pour lequel elle a été créée. Google Threat Intelligence le rappelait en août : ce lien rend inefficaces les domaines d’imitation et les relais AiTM. Un salarié qui ne peut se connecter que par clé d’accès n’a rien à livrer au faux portail.

Encore faut-il qu’elle soit exigée. Tant que le compte accepte aussi un code SMS ou une notification, le faux portail relaie ces méthodes-là. D’où la recommandation de Microsoft : imposer l’authentification résistante au hameçonnage par l’accès conditionnel, pas seulement la proposer.

Le code d’appareil, lui, est un angle mort. La page où la victime saisit le code est réellement celle de Microsoft, donc la clé d’accès fonctionne normalement. La Cloud Security Alliance le résumait en mars 2026 : l’authentificateur valide « correctement » l’origine. Aucune méthode de connexion ne corrige ce cas. Seul le blocage du flux le ferme.

Qui est derrière

Microsoft attribue cet accès initial à plusieurs groupes, dont deux qu’il nomme. Storm-3121 mène des intrusions suivies d’extorsions sous les marques ShinyHunters et Falcon. Storm-3032 réunit des acteurs sortis du groupe BlackFile, qui opèrent sous la bannière Helix.

Helix n’est donc pas un nouveau venu. Google suit cet ensemble sous le nom UNC6671 : le site de fuite de BlackFile a annoncé sa fermeture le 11 mai 2026, et l’activité s’est répartie entre plusieurs marques d’extorsion, dont Helix et Falcon. Google précise qu’il est arrivé à ces attaquants d’afficher le vrai numéro du support de l’entreprise visée.

ShinyHunters est une marque déjà documentée. En juin 2025, Google décrivait une campagne de faux appels du support visant des instances Salesforce ; les auteurs des demandes de rançon se réclamaient de ShinyHunters. Google indiquait qu’une de ses propres instances avait été touchée.

Pour la campagne Microsoft 365, aucune victime n’est nommée dans le rapport.

Et l’IA ?

Ni Microsoft ni Google n’attribuent aux attaquants l’usage d’intelligence artificielle. L’automatisation relevée tient à des scripts : Microsoft signale un client Python dans les journaux de téléchargement. L’IA n’apparaît que du côté de la défense, dans des scénarios d’investigation que Microsoft propose pour Security Copilot. Aucune des mesures qui suivent n’en dépend.

Ce qu’une PME sous Microsoft 365 peut vérifier

Première question à votre prestataire : quelle licence ? L’accès conditionnel exige Microsoft Entra ID P1, que comprend aussi Microsoft 365 Business Premium. Sans elle, Microsoft renvoie aux paramètres de sécurité par défaut, ouverts à tous les clients.

Les mesures suivantes reprennent les recommandations du rapport du 9 septembre :

  • Exiger une méthode résistante au hameçonnage (clé d’accès, Windows Hello Entreprise) par une règle d’accès conditionnel.
  • Bloquer le flux par code d’appareil et le transfert d’authentification, sauf besoin métier explicite. La documentation Microsoft conseille de commencer en mode rapport seul pour mesurer l’usage existant.
  • Protéger l’inscription des méthodes d’authentification : appareil géré, méthode résistante au hameçonnage, reconnexion à chaque inscription.
  • Alerter sur toute nouvelle méthode inscrite, surtout après une connexion inhabituelle, et activer les journaux d’activité Graph ainsi que l’audit des boîtes aux lettres.
  • Limiter les appareils non gérés à une consultation web, sans téléchargement ni synchronisation.
  • En cas de doute sur un compte : révoquer les sessions, retirer les méthodes ajoutées, réinitialiser. Microsoft prévient que la révocation n’est pas instantanée partout, un jeton d’accès restant valable une heure par défaut.

Le support, dans les deux sens

Microsoft demande de vérifier rigoureusement l’identité de la personne avant toute réinitialisation d’identifiants ou de second facteur par le support. C’est la moitié du problème.

L’autre moitié se règle par écrit. Dites à vos équipes que le support ne les appellera jamais sur leur portable personnel pour modifier une clé d’accès, et faites-en la règle si elle n’existe pas. Le numéro affiché ne prouve rien. On raccroche, on rappelle par l’annuaire interne.

Ce principe rejoint la formule prêtée à Airbus, que nous discutons dans notre article sur les identités et les accès en PME.

Reconnaître un appel de faux support fait partie de notre formation Cybersécurité pour tous ; nos autres parcours sont sur la page cybersécurité. DTJ Training n’est pas certifié Qualiopi, sa déclaration d’activité est enregistrée sous le numéro 32800278480 — cet enregistrement ne vaut pas agrément de l’État —, et aucun financement OPCO, CPF ou France Travail n’est mobilisable à ce jour.

Un test pour cette semaine : demandez quelles méthodes d’authentification sont inscrites sur le compte du dirigeant, et à quelle date. Si la réponse prend plus d’une journée, vous savez par où commencer.

Sources

Partager cet article

← Tous les articles