FBI : une arnaque contourne la double authentification Microsoft 365
Un kit de phishing accessible permet de voler des accès professionnels en contournant le MFA. Les entreprises utilisant Microsoft 365 sont particulièrement exposées. Les cybercriminels exploitent des leurres automatisés pour piéger leurs victimes.
Contexte
Le FBI alerte sur une nouvelle menace ciblant les comptes professionnels utilisant Microsoft 365. Un outil appelé Kali365, disponible à l'achat, permet à des attaquants peu expérimentés de mettre en place des campagnes de phishing sophistiquées. Cette infrastructure, qualifiée de 'Phishing-as-a-Service', se répand rapidement parmi les cybercriminels.
Le problème
Kali365 simplifie la création de leurres de phishing grâce à des modèles automatisés et des fonctionnalités générées par intelligence artificielle. Les attaquants envoient des e-mails piégés qui contournent les protections classiques, notamment le MFA (Multi-Factor Authentication). Une fois la victime trompée, le kit capture les jetons OAuth, ces codes temporaires qui valident l'accès aux comptes. Contrairement aux méthodes traditionnelles, cette approche exploite des mécanismes officiels de Microsoft 365, rendant la détection plus difficile. Les pirates suivent en temps réel les victimes ciblées via des tableaux de bord dédiés.
Pourquoi c’est important
Le détournement de comptes professionnels peut entraîner des fuites de données sensibles, des pertes financières ou des intrusions dans les systèmes internes. Même avec une authentification renforcée comme le MFA, cette arnaque montre que les protections ne sont pas infaillibles. Les entreprises doivent donc renforcer leurs vigilances et adapter leurs stratégies de sécurité pour éviter des conséquences graves.
Nos recommandations
- 1
Vérifiez systématiquement l'expéditeur des e-mails, même s'ils semblent provenir d'un collègue ou d'un service connu. Un nom ou une adresse légèrement modifié peut trahir une tentative de phishing.
- 2
Activez les alertes de connexion inhabituelle dans Microsoft 365 pour recevoir des notifications en cas d'accès suspect à votre compte.
- 3
Limitez les autorisations des applications tierces connectées à votre compte Microsoft 365 et révisez régulièrement ces accès pour supprimer ceux inutiles.
- 4
Sensibilisez vos équipes aux techniques de phishing, notamment celles utilisant des leurres automatisés ou des messages urgents. Un doute doit toujours déclencher une vérification manuelle.
- 5
En cas de doute, discutez-en avec Ernest, votre compagnon anti-arnaque