Campagne de phishing AiTM visant Microsoft 365

Introduction

Microsoft a découvert une campagne de phishing sophistiquée qui a ciblé plus de 35 000 utilisateurs dans plus de 13 000 organisations réparties dans 26 pays. Pour les administrateurs Microsoft 365 et sécurité, c’est important, car l’attaque utilisait une technique adversary-in-the-middle (AiTM) pour capturer des jetons d’authentification, ce qui peut contourner une MFA non résistante au phishing et donner aux attaquants un accès immédiat aux comptes.

Quoi de neuf

Entre le 14 et le 16 avril 2026, Microsoft a observé une opération de phishing en plusieurs étapes utilisant des leurres liés au code de conduite et à la conformité interne. Les messages étaient conçus pour ressembler à des communications internes légitimes et ont été envoyés dans des emails authentifiés depuis des domaines contrôlés par les attaquants via un service légitime de distribution d’emails.

Les principales caractéristiques de la campagne comprenaient :

• Des emails soignés sur le thème de la conformité avec des objets urgents concernant des fautes professionnelles ou des cas de non-conformité
• Des pièces jointes PDF demandant aux destinataires d’examiner les éléments du dossier
• Plusieurs pages intermédiaires incluant des vérifications CAPTCHA et des étapes de « vérification »
• Une invite finale de connexion Microsoft intégrée dans un flux AiTM pour intercepter les jetons de session
• Un impact étendu dans tous les secteurs, en particulier la santé, les services financiers, les services professionnels et la technologie

Microsoft a indiqué que la plupart des victimes se trouvaient aux États-Unis, mais que la campagne a touché des organisations dans le monde entier.

Pourquoi cette attaque est importante

Contrairement au phishing d’identifiants classique, les attaques AiTM transmettent la session d’authentification en temps réel via un proxy. Cela signifie que même lorsque les utilisateurs terminent la MFA, les attaquants peuvent quand même capturer des jetons et les réutiliser pour accéder aux comptes.

Cette campagne montre également comment les tactiques de phishing évoluent :

• Les attaquants ont utilisé des modèles HTML de style entreprise pour renforcer leur crédibilité
• Ils ont exploité la pression temporelle et des accusations de type RH pour pousser à une réaction rapide
• Les pages CAPTCHA et intermédiaires ont aidé à filtrer les analyses de sécurité automatisées
• Le flux final de connexion paraissait suffisamment légitime pour réduire la méfiance des utilisateurs

Impact pour les administrateurs IT

Les équipes de sécurité doivent y voir un rappel : la sensibilisation des utilisateurs ne suffit pas à elle seule. Les organisations ont besoin de défenses multicouches couvrant l’email, l’identité, les terminaux et la protection web.

Les administrateurs doivent examiner :

• Les configurations de Exchange Online Protection et Microsoft Defender for Office 365
• Les politiques anti-phishing et les protections contre l’usurpation d’identité
• La prise en charge de SmartScreen dans les navigateurs gérés
• La protection réseau dans Windows pour bloquer les destinations web malveillantes
• La couverture de détection et de réponse pour les activités de connexion suspectes et l’abus de jetons

Étapes recommandées

Les équipes IT devraient prendre les mesures suivantes :

1. Former les utilisateurs aux leurres de phishing liés aux RH, à la conformité et à la réglementation
2. Exécuter des simulations de phishing avec la formation de simulation d’attaque de Microsoft Defender for Office 365
3. Renforcer les paramètres de sécurité des emails et examiner les recommandations de politique dans le portail de sécurité Microsoft
4. Prioriser une authentification résistante au phishing lorsque cela est possible
5. Rechercher des indicateurs de compromission et enquêter sur les comportements de session inhabituels liés aux événements de connexion

Cette campagne renforce une leçon clé en matière de sécurité : le phishing moderne ne concerne plus seulement les mots de passe. Se défendre contre le vol de jetons exige des protections d’identité plus solides, une meilleure sécurité des emails et une sensibilisation continue des utilisateurs.