Des pirates détournent l'authentification Microsoft pour leurs phishing
Une campagne de phishing analysée par Check Point détourne le processus d'authentification légitime de Microsoft. Plutôt que de voler directement un mot de passe, les attaquants cherchent à faire autoriser une application malveillante à accéder à Microsoft 365.
Des chercheurs de Check Point ont identifié une campagne de phishing exploitant l’infrastructure d’authentification légitime de Microsoft. Plus de 200 e-mails ont ciblé environ 120 organisations entre le 25 juin et la deuxième semaine de juillet. Parmi les clients dont la localisation a pu être déterminée, 98,3% se trouvaient en Amérique du Nord. L’industrie et la production, ainsi que les services juridiques et professionnels, figuraient parmi les secteurs les plus visés.
Les messages imitaient des notifications d’attribution de tâches Microsoft Planner liées aux ressources humaines et faisaient référence à des messages Teams. Ils évoquaient notamment une mise à jour concernant les salaires, les rémunérations et les avantages sociaux, ainsi que plusieurs tâches en retard, afin de créer un sentiment d’urgence. L’adresse visible de l’expéditeur correspondait par ailleurs à celle du destinataire.
Une autorisation OAuth légitime détournée
Le lien dirigeait la victime vers une véritable page d’autorisation OAuth de Microsoft, et non vers une imitation de sa page de connexion. Après authentification, l’utilisateur était invité à accorder des permissions à une application contrôlée par les attaquants.
En cas de consentement, Microsoft redirigeait le navigateur vers une infrastructure contrôlée par les pirates et hébergée derrière un endpoint AWS API Gateway. Le code d’autorisation, ou le jeton selon le flux utilisé, était alors transmis à cette infrastructure. L’accès obtenu dépendait des permissions accordées et du compte ayant validé la demande.
Selon Check Point, l’application malveillante pouvait notamment accéder aux e-mails, aux fichiers OneDrive, aux conversations Teams, aux contenus SharePoint ou au calendrier de la victime. L’accès à la messagerie pouvait également servir de point de départ à une compromission de messagerie professionnelle (fraude BEC) menée depuis une adresse interne légitime.
Les chercheurs rappellent que cette technique est déjà répertoriée dans le framework MITRE ATT&CK et indiquent qu’elle s’est diffusée en 2026 jusqu’à être proposée sous forme de service.
La campagne observée n’est plus active. Check Point recommande notamment de vérifier l’identité des expéditeurs, d’accéder directement à Teams ou aux autres applications concernées en cas de doute et de signaler rapidement les messages suspects. Un signalement précoce permet aux équipes de sécurité d’identifier l’application malveillante, de révoquer les consentements accordés et de rechercher les comptes potentiellement touchés.
L’actualité IT en Suisse et à l’international, avec un focus sur la Suisse romande, directement dans votre boîte mail > Inscrivez-vous à la newsletter d’ICTjournal, envoyée du lundi au vendredi!
