# Le phishing « passkey » qui vide des comptes Microsoft 365 ne casse aucune clé d'accès

> Microsoft documente une campagne active depuis mai 2026 qui utilise le vocabulaire des passkeys comme prétexte, pas comme cible technique

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/phishing-passkey-microsoft-365-ingenierie-sociale
- Auteur : Kelvyn
- Publié le : 12 septembre 2026 (2026-09-12T04:35:00.000Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, Phishing, Microsoft 365, MFA, Ingénierie sociale
- Langue : français

Microsoft a documenté, dans un billet publié le 9 septembre, une campagne d'ingénierie sociale active depuis mai 2026 qui se présente sous les traits d'un phishing de passkeys. Le titre fait peur, mais le mécanisme réel est plus banal, et c'est justement ce qui le rend efficace : aucun passkey n'est cassé ni contourné cryptographiquement dans cette histoire.

## Un faux help desk, pas une faille du protocole

La chaîne d'attaque commence par un appel téléphonique ou un SMS sur le numéro personnel d'un employé, où l'attaquant se fait passer pour le support informatique interne. Le prétexte : une mise à jour urgente du passkey, de la MFA ou de la configuration SSO, sous peine de perdre l'accès aux outils de l'entreprise. La victime est redirigée vers un faux portail imitant une page de connexion Microsoft, hébergé sur des domaines typosquattés comme secure-passkey[.]com ou oktasession[.]com, déployés en quelques heures après leur enregistrement.

C'est là que l'enrôlement d'un passkey, souvent affiché comme objectif de la manipulation, cède la place au véritable but de l'attaquant : capturer les identifiants et les jetons de session en temps réel via une attaque de type adversaire-au-milieu, ou détourner le flux « device code », où la victime saisit elle-même un code sur une page Microsoft authentique en pensant valider son propre appareil.

> Le titre « phishing passkey » est trompeur au sens strict. C'est de l'ingénierie sociale classique qui emprunte le vocabulaire anxiogène des passkeys pour pousser la victime vers un canal d'authentification différent, et celui-là réellement piégeable.

## Une fois entré, l'attaquant s'installe durablement

Une fois l'identité compromise, l'attaquant enregistre ses propres méthodes d'authentification — numéro de téléphone, application d'authentification — pour répondre lui-même à de futurs défis MFA sans que la victime s'en aperçoive. Suit une phase de reconnaissance systématique via Microsoft Graph : organisation, utilisateurs, groupes, sites SharePoint, boîtes mail, le tout via des appels d'API paginés qui, pris isolément, ne déclenchent aucune alerte. L'exfiltration de données depuis SharePoint, OneDrive et Exchange est ensuite volontairement plafonnée à moins de 1 000 fichiers ou emails par heure, étalée sur plusieurs jours pour ne pas attirer l'attention.

Microsoft associe cette activité à un éventail d'acteurs plutôt qu'à un groupe unique, citant deux clusters : Storm-3121, lié aux accès initiaux qui alimentent ShinyHunters et l'extorsion Falcon, et Storm-3032, issu du groupe BlackFile et désormais actif sous la bannière Helix.

> « Despite the frequent use of passkey-themed lures, passkey enroll is often not the actor's true objective. »

— Microsoft Threat Intelligence, billet du 9 septembre 2026.

Microsoft ne communique aucun chiffre sur le nombre d'organisations touchées ni sur les secteurs visés. La recommandation de fond reste la même que pour toute attaque par ingénierie sociale : imposer une MFA réellement résistante au phishing via des politiques d'accès conditionnel, restreindre les flux « device code » et l'enregistrement de nouvelles méthodes d'authentification aux seuls appareils gérés, et former les équipes à ne jamais valider une demande d'authentification reçue par un canal non sollicité, même si elle mentionne un passkey.

## Source

D'après le [Microsoft Security Blog](https://www.microsoft.com/en-us/security/blog/2026/09/09/passkey-themed-social-engineering-leads-identity-cloud-compromise/) et [BleepingComputer](https://www.bleepingcomputer.com/news/security/passkey-themed-phishing-attacks-lead-to-microsoft-365-data-theft/).

## À retenir

- Aucun passkey n'est cassé cryptographiquement : le mot sert de prétexte d'ingénierie sociale via un faux help desk.
- La victime est redirigée vers un flux d'authentification réellement piégeable (AiTM ou device-code), pas vers un contournement du passkey lui-même.
- Campagne active depuis mai 2026, liée aux clusters Storm-3121 (ShinyHunters/Falcon) et Storm-3032 (BlackFile/Helix).

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/phishing-passkey-microsoft-365-ingenierie-sociale