Le 9 septembre 2026, Microsoft Security Research a décrit une campagne d’ingénierie sociale qui utilise les passkeys comme prétexte pour prendre le contrôle de comptes Microsoft 365. Observée depuis mai 2026, elle débute souvent par un appel ou un SMS sur le téléphone personnel d’un employé, de la part d’un faux support informatique. Paradoxe : aucune passkey n’est jamais enrôlée. Le discours sur cette technologie anti-hameçonnage sert à orienter la victime vers une page d’hameçonnage AiTM ou vers une autorisation par code d’appareil, puis à exfiltrer discrètement les données de SharePoint, OneDrive et Exchange.
- Le leurre : une mise à jour « urgente » de passkey, de MFA ou de SSO, annoncée par un faux helpdesk par téléphone ou SMS, parfois relayée via Teams depuis des comptes déjà compromis.
- Deux techniques principales : hameçonnage adversary-in-the-middle (AiTM) qui capture identifiants et jetons de session, et hameçonnage par code d’appareil qui délivre un jeton à un client contrôlé par l’attaquant.
- Après l’accès : enregistrement d’une méthode MFA contrôlée par l’attaquant, reconnaissance automatisée via Microsoft Graph, puis collecte lente des documents et e-mails.
- Microsoft attribue l’accès initial à plusieurs acteurs, dont Storm-3121 (lié aux extorsions ShinyHunters et Falcon) et Storm-3032 (issu de BlackFile, opérant sous la bannière Helix).
Ce qu’a observé Microsoft
Microsoft suit des intrusions cloud actives touchant plusieurs comptes. Les attaquants commencent par se renseigner sur les employés et l’organigramme via les réseaux sociaux et professionnels. Ils contactent ensuite leur cible, souvent sur son téléphone personnel, en se faisant passer pour le helpdesk interne et en invoquant l’urgence : une passkey, une configuration MFA ou SSO doit être mise à jour pour éviter une interruption de service.
Ce choix du téléphone personnel n’est pas anodin. Sur un appareil non géré, l’échange n’apparaît dans aucune télémétrie de l’entreprise. Selon Microsoft, le témoignage de l’employé est parfois le seul indice précoce de l’attaque.
Une infrastructure de domaines sur mesure
Les attaquants enregistrent des domaines génériques sur le thème des passkeys, du SSO ou de la synchronisation de clés, et placent le nom de l’organisation ciblée en sous-domaine (par exemple contoso[.]add-passkey[.]com). Plusieurs domaines sont utilisés par organisation, souvent actifs en quelques heures. Parmi les exemples publiés : passkeyhelpdesk[.]com, secure-passkey[.]com, setupmypasskey[.]com, oktasession[.]com ou integratedsso[.]com.
Analyse technique
Trois chemins vers le compte
| Technique | Fonctionnement | Ce qui est contourné |
|---|---|---|
| Hameçonnage AiTM | Fausse page de connexion Microsoft servant de relais entre la victime et le vrai service | MFA non résistante à l’hameçonnage : identifiants et jetons de session sont capturés |
| Code d’appareil (device code) | La victime saisit un code sur la vraie page Microsoft, ce qui délivre un jeton à un client contrôlé par l’attaquant | Aucun vol de cookie nécessaire ; le jeton rejoué contourne la MFA |
| Méthode MFA préenregistrée | Connexion avec des identifiants compromis et validation via une méthode OTP enregistrée quelques jours plus tôt | La MFA, détournée par l’attaquant lui-même |
Dans une séquence analysée, la connexion initiale à OfficeHome depuis un contexte non géré est suivie en deux à quatre minutes d’une consultation de My Apps, My Profile et My Sign-Ins, puis, dans le quart d’heure, d’accès à SharePoint Online, Outlook Web, Azure Virtual Desktop et une application métier interne. La session est restée active environ une heure.
Persistance par enregistrement de méthodes MFA
Une fois le compte compromis, l’attaquant ajoute une méthode d’authentification qu’il contrôle : numéro de téléphone, application d’authentification ou jeton OTP logiciel. Microsoft précise que cette persistance ne survit pas à une réinitialisation complète des identifiants et des sessions, mais qu’elle devient durable lorsqu’elle se combine à des jetons volés, à des sessions non révoquées ou à des identifiants valides.
Reconnaissance Graph et exfiltration lente
L’attaquant utilise un outil d’automatisation Node.js fondé sur Microsoft Graph, avec des adresses IP différentes pour l’authentification, la reconnaissance et l’exfiltration. La reconnaissance couvre le profil du tenant, les utilisateurs et groupes, les rôles d’annuaire et méthodes d’authentification, les applications et consentements OAuth, les sites SharePoint et lecteurs OneDrive, ainsi que les boîtes aux lettres.
La collection est volontairement mesurée : sur des heures ou des jours, avec moins de 1 000 fichiers ou e-mails consultés par heure, pour se fondre dans l’usage normal. Microsoft relève de forts volumes d’événements FileAccessed et FileDownloaded, parfois avec l’agent utilisateur python-httpx, des accès au contenu Exchange Online via API REST et le recours à des proxys anonymes.
Pourquoi c’est important pour votre organisation
Les organisations déploient actuellement les passkeys pour se protéger de l’hameçonnage. Les attaquants retournent ce chantier contre elles : une demande de « mise à jour de passkey » paraît légitime précisément parce qu’un projet de ce type est en cours. Tant que des méthodes MFA plus faibles ou le flux de code d’appareil restent autorisés, la migration vers les passkeys ne protège pas les comptes.
Le second enseignement concerne la détection : un attaquant qui exfiltre moins de 1 000 éléments par heure, depuis des infrastructures tournantes, ne déclenche pas les seuils de volume classiques. Seule une corrélation entre connexion inhabituelle, nouvel enregistrement MFA, reconnaissance Graph et accès massifs aux données permet de reconstituer l’intrusion.
Lecture MITRE ATT&CK
Correspondance fournie par Microsoft dans son rapport (extrait) :
| Technique | Comportement observé |
|---|---|
| T1591 — Gather Victim Org Information | Recherche sur les employés et l’organigramme |
| T1598.003 — Spearphishing Link | Liens vers de fausses pages envoyés par SMS ou messagerie |
| T1583.001 — Domains | Domaines sur le thème passkey, SSO et synchronisation de clés |
| T1078.004 — Cloud Accounts | Utilisation de comptes Microsoft 365 compromis |
| T1556.006 — Multi-Factor Authentication | Enregistrement de méthodes MFA contrôlées par l’attaquant |
| T1087.004 / T1069.003 — Cloud Account / Cloud Groups | Énumération des utilisateurs, groupes et rôles via Graph |
| T1530 / T1114 / T1213 — Collection | Collecte depuis SharePoint, OneDrive et Exchange |
| T1567 — Exfiltration Over Web Service | Exfiltration via services web |
Recommandations
Ces recommandations reprennent les priorités publiées par Microsoft, complétées par notre expérience terrain.
- ImmédiatBloquer le flux de code d’appareil
Via l’accès conditionnel Entra, bloquez les flux device code et authentication transfer, sauf besoin métier explicite et documenté.
- ImmédiatAuditer les méthodes MFA récemment enregistrées
Recherchez les nouvelles méthodes (téléphone, authenticator, OTP logiciel) associées à des connexions risquées ou inhabituelles. En cas de doute : révocation des sessions et jetons d’actualisation, réinitialisation des identifiants, suppression des méthodes et règles de boîte aux lettres ajoutées, puis réenregistrement sécurisé.
- ImmédiatVerrouiller les procédures du helpdesk
Vérifiez rigoureusement l’identité avant toute réinitialisation d’identifiant ou de MFA, alertez sur chaque réinitialisation et communiquez aux employés un canal officiel pour vérifier une demande du support.
- Court termeImposer une MFA résistante à l’hameçonnage
Exigez FIDO2/passkeys ou Windows Hello for Business via l’accès conditionnel, et protégez l’enregistrement des informations de sécurité (appareil géré ou emplacement nommé, blocage en cas de risque élevé).
- Court termeRestreindre l’accès aux données depuis les appareils non gérés
Exigez un appareil conforme pour Exchange, SharePoint et les applications Graph privilégiées ; limitez les autres à un accès web sans téléchargement ni synchronisation, et désactivez les liens de partage anonymes.
- Moyen termeCorréler identité et accès aux données
Activez les journaux d’activité Microsoft Graph et l’audit des boîtes aux lettres, et construisez des détections qui enchaînent connexion inhabituelle, enregistrement MFA, énumération Graph et accès massifs, plutôt que des seuils isolés.
- Moyen termeSensibiliser au vishing ciblant la MFA
Formez les utilisateurs aux appels et SMS de faux supports informatiques évoquant passkeys, MFA ou SSO, en particulier pendant les projets de déploiement.
Cette campagne montre que la sécurité de l’identité ne s’arrête pas au choix de la méthode d’authentification : les flux hérités, les procédures du helpdesk et la surveillance post-connexion comptent autant que la passkey elle-même.
Notre SOC, Détection & Réponse corrèle les signaux d’identité et d’accès aux données pour détecter ces intrusions lentes. Nos programmes de Formation & Sensibilisation préparent vos équipes et votre helpdesk à l’ingénierie sociale par téléphone.
- Passkey-themed social engineering leads to identity and cloud compromiseMicrosoft Security Blog — Microsoft Security Research — 9 septembre 2026
- Passkey-themed phishing attacks lead to Microsoft 365 data theftBleepingComputer — Lawrence Abrams — 11 septembre 2026
- Article original sur le phishing de passkeysThe Hacker News — septembre 2026
- MITRE ATT&CK® — Enterprise MatrixMITRE Corporation
