Votre service informatique vous demande de réactiver votre passkey Microsoft 365 ? Attention à cette nouvelle arnaque.
Un appel du support informatique, un SMS et une prétendue mise à jour de sécurité Microsoft 365. Tout semble normal. Pourtant, cette procédure peut donner à un attaquant l'accès aux emails et documents de votre entreprise.
Votre téléphone sonne.
La personne au bout du fil se présente comme un membre du support informatique.
Elle connaît le nom de votre entreprise.
Elle semble professionnelle.
Elle vous explique qu'une mise à jour de sécurité Microsoft 365 est nécessaire.
« Nous migrons les comptes vers les passkeys. Vous devez valider la procédure aujourd'hui pour éviter une interruption de votre messagerie. »
Quelques instants plus tard, vous recevez un SMS.
Le message contient un lien.
La page ressemble à Microsoft.
Vous suivez les instructions.
Et sans nécessairement vous en rendre compte, vous venez peut-être d'autoriser un attaquant à accéder à votre environnement professionnel.
Ce scénario n'est pas une simple démonstration théorique.
Le 9 septembre 2026, Microsoft Security Research a publié une analyse détaillée de campagnes utilisant précisément ce type de manipulation.
Ce que Microsoft a réellement découvert
Depuis mai 2026, Microsoft observe des opérations ciblant des comptes professionnels au moyen de scénarios de phishing liés aux passkeys et au Single Sign-On (SSO).
Les attaquants peuvent contacter les employés sur leur téléphone personnel.
Ils se présentent comme le support informatique.
Ils parlent de mise à jour MFA, de configuration SSO ou de migration vers les passkeys.
L'objectif n'est pas nécessairement de créer une véritable passkey.
Il est de convaincre l'utilisateur d'effectuer une opération d'authentification au bénéfice de l'attaquant.
Microsoft décrit notamment deux techniques :
- Le phishing Adversary-in-the-Middle (AiTM), qui peut permettre d'intercepter des éléments d'authentification et de session.
- Le device code phishing, qui amène la victime à autoriser, parfois depuis une véritable page Microsoft, une session contrôlée par l'attaquant.
C'est une distinction essentielle.
Les passkeys ne sont pas intrinsèquement compromises : c'est la confiance de l'utilisateur dans une prétendue procédure de sécurité qui est exploitée.
Source : Microsoft Security Research — 9 septembre 2026
Le piège du vrai site Microsoft
C'est probablement l'aspect le plus déroutant.
Dans certaines attaques utilisant le mécanisme device code, l'utilisateur est invité à saisir un code sur une page d'authentification Microsoft légitime.
La page peut être authentique.
Le certificat HTTPS aussi.
Mais le code a été fourni dans le contexte d'une demande frauduleuse.
En le validant, la victime peut autoriser un client contrôlé par l'attaquant à obtenir un jeton d'accès.
Ce n'est donc pas toujours un faux site rempli de fautes d'orthographe.
Un service parfaitement légitime peut être utilisé dans une chaîne de fraude.
C'est pour cela que la simple consigne « vérifiez le cadenas HTTPS » ne suffit plus.
Une fois connecté, que cherche l'attaquant ?
Microsoft a observé plusieurs comportements après la compromission d'une identité.
D'abord, les attaquants explorent l'environnement.
Ils identifient les applications accessibles.
Ils interrogent Microsoft Graph.
Ils examinent les espaces SharePoint et OneDrive.
Ils peuvent ensuite collecter des fichiers, des emails ou des pièces jointes, selon les droits du compte compromis.
Dans certaines opérations, Microsoft a également observé l'ajout de nouvelles méthodes d'authentification.
Cela peut compliquer la remédiation si l'entreprise se contente de changer le mot de passe.
Le risque est particulièrement important lorsqu'un compte possède un accès large aux données internes.
Un compte commercial peut donner accès à des contrats.
Un compte RH à des dossiers salariés.
Un compte de direction à des informations financières.
Et l'attaquant n'a pas toujours besoin de compromettre l'ordinateur professionnel pour accéder à ces données.
Pourquoi votre antivirus peut ne rien voir
Imaginez qu'un salarié reçoive le SMS sur son téléphone personnel.
Il ouvre le lien sur cet appareil.
Puis il valide la demande d'authentification.
Aucun logiciel malveillant n'est nécessairement installé sur son poste professionnel.
Le problème se situe dans l'identité numérique et les jetons d'accès.
Microsoft souligne que l'utilisation d'appareils personnels non supervisés peut rendre les premières étapes de certaines attaques difficiles à reconstituer.
Voilà pourquoi la protection des postes ne remplace pas la supervision des identités et des services cloud.
Les signaux qui doivent déclencher une investigation
Une entreprise disposant des journaux et des licences nécessaires peut rechercher plusieurs indicateurs.
Par exemple :
- Une connexion inhabituelle, suivie de l'enregistrement d'une nouvelle méthode MFA.
- Des événements d'authentification par code appareil non attendus.
- Un appareil ou une localisation inhabituels.
- Une activité Microsoft Graph inhabituelle.
- Des volumes de téléchargements anormaux dans SharePoint ou OneDrive.
- Des accès à la messagerie qui ne correspondent pas au comportement habituel de l'utilisateur.
Un indicateur isolé ne prouve pas une compromission.
Ce qui compte, c'est la séquence des événements.
Une nouvelle méthode d'authentification, suivie d'une exploration des ressources cloud puis d'un téléchargement inhabituel de documents, mérite une attention particulière.
Quelles protections mettre en place ?
1. Encadrer strictement les procédures du support IT
Un employé ne devrait pas valider une nouvelle procédure d'authentification uniquement parce qu'une personne l'appelle.
Définissez un canal interne fiable permettant de vérifier les demandes du support.
2. Utiliser des mécanismes MFA résistants au phishing
Les méthodes d'authentification résistantes au phishing, correctement déployées et associées aux politiques d'accès adaptées, réduisent l'exposition à certaines attaques.
Cela ne signifie pas qu'un attaquant ne peut plus manipuler un utilisateur.
La sensibilisation doit donc expliquer les faux scénarios de migration passkey et SSO.
3. Contrôler l'authentification par code appareil
Microsoft recommande de bloquer les flux device code et certains flux de transfert d'authentification lorsqu'ils ne répondent à aucun besoin métier identifié.
Avant de les bloquer, il faut évidemment recenser les applications légitimes qui en dépendent.
4. Surveiller les nouvelles méthodes MFA
L'enregistrement d'une nouvelle méthode d'authentification doit être traçable.
Une modification inattendue sur un compte sensible mérite une vérification.
5. Limiter l'accès aux données
Un compte compromis ne devrait pas permettre de télécharger sans restriction tous les documents de l'entreprise.
La limitation des permissions, les politiques d'accès conditionnel et le contrôle des téléchargements sur les appareils non gérés peuvent réduire les conséquences d'une compromission.
Que faire si un salarié a déjà suivi la fausse procédure ?
Ne vous contentez pas de lui demander de changer son mot de passe.
Il faut déterminer si une session ou une autorisation a été obtenue par l'attaquant.
Les mesures d'investigation et de remédiation peuvent comprendre :
- L'examen des connexions et événements d'authentification.
- La révocation des sessions actives et des jetons de rafraîchissement concernés.
- La vérification des méthodes MFA et des appareils enregistrés.
- Le contrôle des consentements applicatifs et accès OAuth.
- L'examen de l'activité Exchange, SharePoint et OneDrive.
- L'identification des fichiers potentiellement consultés ou téléchargés.
- La sécurisation du compte et le suivi d'éventuelles activités persistantes.
La procédure exacte dépend des éléments découverts.
Le plus important est d'éviter de fermer l'incident uniquement parce que le mot de passe a été modifié.
Une question simple pour votre responsable informatique
« Si un salarié autorisait aujourd'hui une session Microsoft 365 frauduleuse, serions-nous capables de savoir quels documents ont ensuite été consultés ? »
La réponse ne devrait pas reposer sur une impression.
Elle devrait dépendre de journaux disponibles, d'une politique de conservation adaptée et d'une capacité réelle à analyser les événements.
C'est le principe d'une cybersécurité qui ne se contente plus de bloquer les attaques connues, mais cherche aussi à détecter les comportements anormaux.
Chez Cyberhack, nous considérons cette visibilité comme un élément essentiel d'une démarche de sécurité sérieuse.
Vous pouvez en savoir plus sur notre approche de la cybersécurité.
Conclusion
Les campagnes observées en 2026 montrent que les attaquants savent transformer une mesure de sécurité en prétexte de fraude.
Une passkey.
Une procédure MFA.
Une migration SSO.
Un appel du support informatique.
Tous ces éléments peuvent sembler parfaitement légitimes.
Mais ce n'est pas parce qu'une demande parle de sécurité qu'elle est sûre.
Et ce n'est pas parce qu'une page d'authentification est authentique que l'opération demandée est légitime.
La règle à retenir est simple :
Avant de valider une demande d'authentification inattendue, vérifiez indépendamment qui l'a demandée et pourquoi.
Pour une entreprise, l'étape suivante est tout aussi importante : disposer des moyens nécessaires pour détecter rapidement un accès frauduleux si cette première vérification échoue.
