Microsoft : de faux appels du support IT contournent les passkeys

L'appel paraît banal : quelqu'un de l'informatique a besoin que vous terminiez la configuration de votre passkey, et c'est urgent. Dans un rapport publié le 9 septembre, Microsoft Security Research décrit cet appel comme le premier coup d'une série d'intrusions dans le cloud qu'elle dit suivre depuis mai 2026.

Selon Microsoft, les attaquants joignent d'abord les salariés par téléphone, puis envoient un lien — souvent par SMS sur le mobile personnel — vers une page qui, selon les mots de l'entreprise, « ressemble beaucoup à une véritable page de connexion Microsoft ». D'autres arrivent en messages Teams depuis des comptes de collègues déjà détournés, avec des domaines du type company-name.integratedsso[.]com.

L'habillage « passkey » relève surtout du récit tenu par l'appelant. « Malgré le recours fréquent à des leurres sur le thème des passkeys, l'enrôlement d'un passkey n'est souvent pas le véritable objectif de l'acteur », écrit Microsoft. Ce que la fausse page exécute réellement, c'est un hameçonnage par adversaire au milieu ou un flux d'authentification par code d'appareil : dans les deux cas, l'attaquant récupère une session valide plutôt qu'un mot de passe.

Cela compte parce que les passkeys et les demandes de double authentification sont largement présentés comme résistants à l'hameçonnage — et cryptographiquement, ils le sont. Le récit de Microsoft vise l'étape d'à côté : la personne que l'on convainc de valider. Une fois à l'intérieur, les attaquants rendent l'accès durable en enregistrant, selon l'entreprise, « une méthode de MFA sous leur contrôle, généralement un nouveau numéro de téléphone, une application d'authentification ou un jeton logiciel de mot de passe à usage unique (OTP) ». Ils passent ensuite le tenant au crible via Microsoft Graph — utilisateurs, groupes, autorisations, sites et contenu des boîtes aux lettres — avant des téléchargements massifs depuis SharePoint Online et OneDrive for Business, certaines intrusions atteignant Exchange Online par API REST.

Microsoft attribue l'accès initial à Storm-3121, qu'elle relie aux extorsions ShinyHunters et Falcon, et à Storm-3032, présenté comme une scission du groupe BlackFile opérant désormais sous la bannière d'extorsion Helix. Ses recommandations : MFA résistante à l'hameçonnage via l'accès conditionnel, révocation des sessions et des jetons en cas de compromission confirmée, journaux d'activité Microsoft Graph et audit des boîtes aux lettres, et formation contre l'hameçonnage vocal.

Par ailleurs — Microsoft la présente comme une campagne distincte — The Hacker News rapportait le 13 septembre que l'entreprise avait aussi révélé plus d'un million de courriels frauduleux envoyés entre le 3 et le 5 août 2026 : les expéditeurs se faisaient passer pour des PDG afin de réclamer des virements ACH au titre d'abonnements ServiceNow fictifs, surtout auprès d'entreprises américaines des services informatiques, des biens de consommation, de l'immobilier et de l'industrie manufacturière.

Ce que Microsoft n'a pas dit, c'est l'ampleur de la campagne passkey. Le rapport ne cite aucune organisation touchée ni aucun décompte de comptes compromis. Reste à savoir si la méthode restera cantonnée aux groupes nommés ici ou deviendra la voie habituelle pour contourner la MFA.