Le phishing avec une fausse alerte Passkey vole les données des entreprises sur Microsoft 365
Microsoft a révélé deux vagues de fraude en cours dans lesquelles des attaquants se font passer pour le support informatique d’entreprises afin d’obtenir un accès aux comptes Microsoft 365.
Les attaquants commencent par rechercher des employés et la structure de l’entreprise, souvent via les réseaux sociaux, puis contactent les salariés par appel ou message, parfois par SMS sur leur téléphone personnel.
Ils prétendent qu’une Passkey, l’authentification multifactorielle ou le paramètre Single Sign-On doit être mis à jour de toute urgence, sous peine de perdre l’accès, et redirigent la personne vers une fausse page de connexion Microsoft.
Sur cette page, les victimes saisissent soit directement leurs identifiants, qui sont alors interceptés, soit elles entrent un code fourni par l’attaquant sur la vraie page Microsoft, ce qui permet à ce dernier d’obtenir un accès sans nécessiter une vérification multifactorielle supplémentaire.
Selon Microsoft, le groupe derrière ces attaques consacre des efforts importants à la préparation et collecte des informations ciblées sur les employés avant de passer à l’action.
Après avoir obtenu un accès, Microsoft a observé que les attaquants fouillaient, en quelques minutes, les applications internes, SharePoint, Outlook et les applications professionnelles, restant parfois actifs pendant une heure pour consulter des fichiers sensibles.
Comme l’accès se fait via Single Sign-On, il peut également s’étendre à des services connectés tels que Salesforce, Google Workspace, Dropbox ou Slack, ce qui augmente considérablement l’ampleur des vols de données possibles.
POURQUOI C'EST IMPORTANT
Les attaquants exploitent la confiance dans des fonctions de sécurité comme les Passkeys pour inciter les employés à divulguer leurs identifiants, ce qui leur permet d’accéder à bien plus qu’un simple compte d’entreprise.
CE QUE VOUS POUVEZ FAIRE MAINTENANT
- Toujours vérifier soi-même les demandes du service informatique En cas de demande prétendue du service informatique, ne rappelez pas via le numéro fourni dans le message, mais utilisez le numéro officiel interne ou le contact IT connu de votre entreprise.
- Ne pas saisir de codes inconnus Si quelqu’un vous demande d’entrer un code sur une page de connexion Microsoft que vous n’avez pas vous-même demandé, ne le faites pas et contactez plutôt votre service informatique.
- Vérifier attentivement l’adresse de la page de connexion Avant de saisir vos identifiants, examinez bien l’adresse web dans le navigateur et méfiez-vous des ajouts inhabituels comme 'passkeyhelpdesk' ou des combinaisons de mots similaires.
- Signaler immédiatement les messages suspects Signalez sans délai les SMS, appels ou e-mails mentionnant de prétendus problèmes de Passkey ou de SSO à votre équipe informatique ou de sécurité, même si vous n’y avez pas répondu.