Microsoft et la police démantèlent un réseau de phishing ciblant 12 000 comptes

Contexte

Microsoft et la police britannique ont mené une opération conjointe pour démanteler EvilTokens, un service de phishing par abonnement. Deux hommes ont été arrêtés en Angleterre, soupçonnés d’en être les administrateurs. Ce service a permis de compromettre plus de 12 000 comptes Microsoft 365 depuis février, sans nécessiter le vol direct des mots de passe des victimes.

Le problème

EvilTokens exploitait une faille liée à une méthode de connexion prévue par Microsoft pour les appareils sans clavier, comme les téléviseurs connectés. Les pirates généraient un code d’autorisation qu’ils envoyaient à leurs cibles. En le saisissant sur la page officielle microsoft.com/devicelogin, la victime validait sans le savoir une session pour le pirate, y compris la double authentification. Les attaquants vendaient ce service 1 500 dollars sur Telegram, avec un abonnement mensuel de 500 dollars pour accéder au panneau de contrôle. Ils proposaient 44 thèmes de leurres (fausses factures, appels d’offres) et utilisaient l’intelligence artificielle pour personnaliser les messages ou repérer les salariés habilités à valider des paiements.

Pourquoi c’est important

Ce type d’arnaque permet aux pirates de prendre le contrôle total d’une boîte mail professionnelle sans voler de mot de passe, ce qui rend la détection plus difficile. Une fois le compte compromis, les attaquants peuvent surveiller les échanges, identifier les personnes autorisées à effectuer des virements et exploiter ces informations pour détourner des fonds. Les jetons d’accès volés restent valables environ 90 jours, prolongeant ainsi la durée de l’intrusion.

Nos recommandations

1. 1

   Ne jamais saisir un code d’autorisation reçu par e-mail ou message, même s’il semble provenir d’un service connu. Toujours vérifier l’URL de la page de connexion avant de valider.

2. 2

   Activer la double authentification sur tous les comptes professionnels et personnels, mais privilégier les méthodes comme les applications d’authentification (Google Authenticator, Microsoft Authenticator) plutôt que les SMS.

3. 3

   Sensibiliser les équipes aux techniques de phishing, notamment celles utilisant l’IA pour personnaliser les messages. Vérifier systématiquement les demandes inhabituelles, comme des changements de coordonnées bancaires.

4. 4

   Surveiller régulièrement les sessions actives sur les comptes Microsoft 365 et désactiver celles qui semblent suspectes via les paramètres de sécurité.

5. 5

   En cas de doute, discutez-en avec Ernest, votre compagnon anti-arnaque