Êtes-vous concerné ?
- Concerné : les entreprises dont le personnel se connecte avec des comptes Microsoft 365 (Entra ID) ou Google Workspace. Selon BleepingComputer, un jeton obtenu par code d'appareil peut donner accès aux ressources de l'utilisateur et aux applications connectées par authentification unique, comme Microsoft 365, Salesforce, Slack ou Atlassian.
- Pas concerné si : votre entreprise n'a pas de comptes professionnels Microsoft ou Google.
Que faire
- Identifiez qui utilise la connexion par code d'appareil : dans le centre d'administration Microsoft Entra, filtrez les journaux de connexion par protocole d'authentification pour isoler le flux de code d'appareil (device code flow).
- Bloquez-la là où personne n'en a besoin, comme le recommande Microsoft (nécessite Entra ID P1 ou Microsoft 365 Business Premium) : Entra ID > Conditional Access > Policies > New policy ; tous les utilisateurs sauf vos comptes d'urgence (break-glass) ; All resources ; Conditions > Authentication Flows > Device code flow ; Grant > Block access. Commencez en mode Report-only, puis passez la stratégie sur On.
- Dites à vos collègues : un code venu d'un site web ne se saisit jamais dans une page de connexion Microsoft, et un événement qui demande une connexion avec le compte professionnel pour un abonnement IA gratuit est un signal d'alerte.
- Contre le détournement de session, la méthode utilisée côté Google, BleepingComputer recommande une MFA résistante à l'hameçonnage, comme les clés de sécurité FIDO2.
- Déjà touché ? Recherchez les connexions par code d'appareil de personnes qui n'utilisent jamais ce mode, aussi loin que remontent vos journaux. À notre avis, révoquez alors les sessions de la personne concernée, réinitialisez le mot de passe et vérifiez les applications connectées.
- Autre affaire, signalée le 2 novembre : Microsoft a décrit des intrusions où des attaquants se faisant passer pour le support informatique sur Teams ont convaincu des employés d'ouvrir Quick Assist (Assistance rapide). Limitez les organisations externes qui peuvent joindre votre personnel sur Teams et confirmez les appels de support inattendus par un canal interne connu.
Ce que l'on sait – et ce que l'on ignore
- Côté Microsoft, la victime saisit le code sur la véritable page de connexion d'appareil de Microsoft et approuve la demande ; Microsoft délivre alors un jeton à la session Kali365 de l'attaquant, et la MFA ne l'en empêche pas. Une fausse page de connexion VoidProxy peut ensuite récupérer aussi le mot de passe et le cookie.
- Côté Google, VoidProxy relaie la véritable connexion Google et capture le mot de passe, la réponse MFA et le cookie de session.
- Push Security ne sait pas comment les liens sont diffusés. Ils passent par des raccourcisseurs d'URL de Google et de Zapier et derrière un CAPTCHA Cloudflare qui écarte les scanners. Des campagnes antérieures similaires utilisaient des pages d'événements Zoom (ANY.RUN) et des e-mails GoTo Webinar (Cofense).
- Aucun rapport n'indique combien de comptes ont été compromis.
- Pour les intrusions via Teams, Microsoft ne nomme ni l'attaquant ni les dates.
Pourquoi c'est important
On apprend au personnel à vérifier la barre d'adresse – et ici, c'est vraiment celle de Microsoft. Ce qui trahit l'arnaque, c'est un code venu d'ailleurs.