Le phishing « passkey » qui vide des comptes Microsoft 365 ne casse aucune clé d'accès

Microsoft a documenté, dans un billet publié le 9 septembre, une campagne d'ingénierie sociale active depuis mai 2026 qui se présente sous les traits d'un phishing de passkeys. Le titre fait peur, mais le mécanisme réel est plus banal, et c'est justement ce qui le rend efficace : aucun passkey n'est cassé ni contourné cryptographiquement dans cette histoire.

Un faux help desk, pas une faille du protocole

La chaîne d'attaque commence par un appel téléphonique ou un SMS sur le numéro personnel d'un employé, où l'attaquant se fait passer pour le support informatique interne. Le prétexte : une mise à jour urgente du passkey, de la MFA ou de la configuration SSO, sous peine de perdre l'accès aux outils de l'entreprise. La victime est redirigée vers un faux portail imitant une page de connexion Microsoft, hébergé sur des domaines typosquattés comme secure-passkey[.]com ou oktasession[.]com, déployés en quelques heures après leur enregistrement.

C'est là que l'enrôlement d'un passkey, souvent affiché comme objectif de la manipulation, cède la place au véritable but de l'attaquant : capturer les identifiants et les jetons de session en temps réel via une attaque de type adversaire-au-milieu, ou détourner le flux « device code », où la victime saisit elle-même un code sur une page Microsoft authentique en pensant valider son propre appareil.

Une fois entré, l'attaquant s'installe durablement

Une fois l'identité compromise, l'attaquant enregistre ses propres méthodes d'authentification — numéro de téléphone, application d'authentification — pour répondre lui-même à de futurs défis MFA sans que la victime s'en aperçoive. Suit une phase de reconnaissance systématique via Microsoft Graph : organisation, utilisateurs, groupes, sites SharePoint, boîtes mail, le tout via des appels d'API paginés qui, pris isolément, ne déclenchent aucune alerte. L'exfiltration de données depuis SharePoint, OneDrive et Exchange est ensuite volontairement plafonnée à moins de 1 000 fichiers ou emails par heure, étalée sur plusieurs jours pour ne pas attirer l'attention.

Microsoft associe cette activité à un éventail d'acteurs plutôt qu'à un groupe unique, citant deux clusters : Storm-3121, lié aux accès initiaux qui alimentent ShinyHunters et l'extorsion Falcon, et Storm-3032, issu du groupe BlackFile et désormais actif sous la bannière Helix.

« Despite the frequent use of passkey-themed lures, passkey enroll is often not the actor's true objective. »

— Microsoft Threat Intelligence, billet du 9 septembre 2026.

Microsoft ne communique aucun chiffre sur le nombre d'organisations touchées ni sur les secteurs visés. La recommandation de fond reste la même que pour toute attaque par ingénierie sociale : imposer une MFA réellement résistante au phishing via des politiques d'accès conditionnel, restreindre les flux « device code » et l'enregistrement de nouvelles méthodes d'authentification aux seuls appareils gérés, et former les équipes à ne jamais valider une demande d'authentification reçue par un canal non sollicité, même si elle mentionne un passkey.

Source

D'après le Microsoft Security Blog et BleepingComputer.