Un faux service informatique appelle vos collaborateurs : la vague de phishing qui contourne même la MFA

Imaginez qu’un collaborateur reçoive un appel ou un message Teams de quelqu’un qui se présente comme le service informatique. Il y a un problème urgent, et l’interlocuteur est aimable et crédible. C’est exactement le scénario de deux campagnes d’attaque actives qui ont compromis des milliers de comptes Microsoft 365 cet été et cet automne. Elles contournent même l’authentification multifacteur (MFA). Les chercheurs en sécurité de CloudSEK et d’Arctic Wolf en ont mesuré l’ampleur début septembre, et au moment où j’écris ces lignes, les campagnes sont toujours en cours.

Comment cela fonctionne : l’attaque mise sur la confiance

Les attaquants opèrent sous deux noms. BigBear 2.0 est un kit de phishing prêt à l’emploi que des criminels louent. PREY-0058 est le nom que les chercheurs ont donné à l’un des groupes. Ils n’utilisent pas d’exploit technique compliqué. Ils appellent, envoient un message Teams ou un e-mail, et se font passer pour un informaticien venu résoudre un problème. Ensuite, de deux choses l’une. Soit ils convainquent le collaborateur de leur donner un accès à distance à son appareil, soit ils l’envoient vers une copie convaincante de la page de connexion de Microsoft 365.

C’est là que cela devient vraiment dangereux. Cette fausse page fait plus que copier l’originale. Elle fonctionne comme un attaquant intermédiaire (attacker-in-the-middle) : tout ce que le collaborateur saisit, du nom d’utilisateur et du mot de passe jusqu’au code MFA, est transmis en temps réel au véritable serveur de Microsoft. L’attaquant détourne ensuite la session valide, déjà authentifiée. Pour la victime, tout ressemble à une connexion normale et réussie.

Pourquoi la MFA classique ne protège pas contre cela

Chaque organisation doit bien comprendre ce point. Un code MFA que vous confirmez par une application, un SMS ou une notification prouve seulement que vous avez approuvé quelque chose à ce moment-là. Il ne prouve pas que vous l’avez fait sur le vrai site de Microsoft. Si une fausse page intercepte le code et le relaie aussitôt, la barrière MFA est franchie sans que rien d’anormal ne se soit produit.

Les chiffres montrent l’efficacité de la méthode : plus de 5 000 identifiants volés, dont 474 sessions où la MFA a été entièrement contournée, et plus de 4 000 cookies de session détournés, dans plus de 40 pays. Sur les 461 organisations visées, 258 ont effectivement été compromises.

Ce qui protège vraiment : la MFA résistante au phishing

Il existe une forme d’authentification qui résiste précisément à ce scénario : la MFA résistante au phishing. Ce sont les passkeys et les clés de sécurité physiques comme les YubiKeys, qui reposent sur les normes FIDO2 et WebAuthn. La différence est fondamentale. Ces méthodes lient la connexion, par la cryptographie, à la véritable adresse web vérifiée. Une fausse page ne peut pas reproduire ce lien, aussi convaincante soit-elle. Même si un collaborateur clique en toute bonne foi sur un lien de phishing, la connexion ne fonctionne tout simplement pas sur le mauvais site.

Cela rejoint directement le passage aux passkeys que Microsoft met en place cet automne. Ces campagnes montrent pourquoi ce changement est si urgent.

Ce que vous pouvez faire concrètement

• Mettez en place une MFA résistante au phishing partout où c’est possible. Commencez par les utilisateurs qui ont le plus d’accès, comme la direction, les finances et les administrateurs informatiques.
• Utilisez des stratégies Conditional Access qui contrôlent davantage, ou bloquent, les connexions depuis des lieux inattendus ou de nouveaux appareils.
• Limitez ce que les utilisateurs peuvent parcourir dans SharePoint et OneDrive. Les chercheurs constatent qu’après une intrusion réussie, les attaquants emportent surtout de grandes quantités de données depuis Outlook, Teams, SharePoint et OneDrive. Ils déploient rarement un ransomware.
• Apprenez à vos équipes une règle stricte : le service informatique n’appelle jamais à l’improviste pour demander un mot de passe ou un code MFA, et ne demande jamais d’accès à distance si vous n’avez pas vous-même demandé de l’aide. Cette seule règle, bien connue de tous, arrête déjà la plupart de ces tentatives.

Conclusion

Ces campagnes ne sont pas une exception. Elles montrent la direction que prennent les attaques. L’ingénierie sociale par téléphone et par Teams, combinée à une infrastructure de phishing techniquement avancée, est aujourd’hui la principale voie d’attaque. Elle fonctionne justement parce qu’elle vise l’humain et non la technique. Vous voulez savoir à quel point votre organisation est vulnérable à ce scénario, et quelles mesures auront le plus d’effet ? Un audit ciblé vous le montre.