Le phishing par code d'appareil contourne la double authentification Microsoft 365, un blocage gratuit existe

Greatness est un kit de phishing loué 289 dollars par mois sur un canal Telegram, actif depuis 2022 et déjà documenté par Cisco Talos. Ses opérateurs viennent d'ajouter une fonction : usurper les notifications RingCentral (message vocal, évaluation de performance) pour piéger des utilisateurs de Microsoft 365. BleepingComputer et The Hacker News, qui citent tous deux les chercheurs de ZeroBEC, ont publié leurs constats le 4 août. Ce n'est pas la seule technique de ce type en circulation : IT-Connect avait déjà décrit fin juillet un autre outil, DEBULL, qui exploite le même mécanisme.

Un code, pas une fausse page

Le point d'entrée est classique : un e-mail qui se présente comme venant de service@ringcentral.com, avec un lien vers un message vocal ou une évaluation. BleepingComputer note que les attaquants profitent du fait que RingCentral figure souvent dans les listes d'expéditeurs de confiance des filtres anti-spam — les e-mails passent même quand les vérifications SPF, DKIM et DMARC échouent.

Une fois le lien cliqué, deux scénarios sont possibles. Le premier est un classique de l'interception : une page intermédiaire (adversary-in-the-middle) capture le jeton d'authentification juste après que la victime a validé sa double authentification. Le second, plus récent, est le device code phishing : la victime est invitée à se rendre sur la véritable page de connexion de Microsoft et à y saisir un code fourni par l'attaquant.

Ce mécanisme détourne le flux OAuth 2.0 « Device Authorization Grant », conçu à l'origine pour des appareils sans clavier ni navigateur — une Smart TV, une imprimante, une console. L'appareil affiche un code, l'utilisateur le saisit sur une page Microsoft depuis un autre écran, et l'autorisation est accordée. Dans la version détournée, c'est l'attaquant qui génère le code et le fait saisir à sa victime par ruse. Dark Reading, citant des données CrowdStrike, précise que la victime se connecte et valide réellement sur la page Microsoft authentique : aucun mot de passe n'est volé, et la double authentification est réellement satisfaite — mais elle profite à la session ouverte par l'attaquant, pas à celle de la victime.

Une fois le jeton obtenu, les opérateurs de Greatness le rejouent en quelques minutes depuis une infrastructure VPS ou VPN commerciale, explorent la messagerie et les fichiers via l'API Microsoft Graph, puis enregistrent un nouvel appareil pour obtenir un jeton de rafraîchissement durable — un moyen de conserver l'accès après un simple changement de mot de passe.

Une tendance, pas un cas isolé

Dark Reading rapporte, sur des données CrowdStrike, une hausse d'environ 1 500 % du device code phishing sur le premier semestre 2026, en parallèle d'un doublement des attaques par vishing (l'usurpation par appel téléphonique). Les deux techniques ciblent l'humain plutôt qu'une faille logicielle, ce qui les rend indifférentes aux correctifs de sécurité habituels.

Le blocage existe, mais pas partout par défaut

Microsoft documente le blocage du device code flow depuis plusieurs années au titre des « Security Defaults » (valeurs de sécurité par défaut), un ensemble de protections gratuites, sans licence Entra ID P1, disponible sur tous les tenants Microsoft 365. Selon la documentation officielle, mise à jour le 1er juillet 2026, ce blocage est désormais actif par défaut sur tous les nouveaux tenants Entra créés à partir de cette date.

Cela laisse une zone grise pour les tenants existants, ce qui concerne la quasi-totalité des PME déjà équipées. Les Security Defaults ont commencé à être proposés aux nouveaux tenants créés après le 22 octobre 2019, et Microsoft les active parfois automatiquement sur des tenants plus anciens qui n'ont ni politique d'accès conditionnel ni licence premium. Mais un tenant qui a, par exemple, désactivé les Security Defaults pour mettre en place une politique d'accès conditionnel partielle — sans avoir couvert le device code flow — peut se retrouver sans protection sur ce point précis. Il n'y a pas de règle universelle : la seule façon de savoir est de vérifier son propre tenant.

Pour les entreprises abonnées à Microsoft 365 Business Premium, ou aux formules E3/E5, qui incluent une licence Entra ID P1, une politique d'accès conditionnel dédiée permet de bloquer le device code flow tout en prévoyant des exceptions documentées, par exemple pour un outil interne qui en a réellement besoin. Les abonnements Business Basic et Business Standard n'incluent pas cette licence : pour ces tenants, les Security Defaults sont la seule option gratuite, sans les possibilités d'exception fine de l'accès conditionnel.

Ce qu'il faut vérifier aujourd'hui

Dans le centre d'administration Microsoft Entra (entra.microsoft.com), sous Identité > Vue d'ensemble > Propriétés > Gérer les valeurs de sécurité par défaut, l'état affiché indique si la protection est active. Si elle est désactivée et qu'aucune politique d'accès conditionnel ne couvre le device code flow, le tenant reste exposé à cette technique.

À cela s'ajoutent deux réflexes indépendants de la configuration technique : revoir les règles d'expéditeurs de confiance qui excluent des domaines de service (RingCentral, mais le principe vaut pour tout fournisseur) sans vérification d'authentification, et rappeler aux équipes qu'aucun besoin légitime ne justifie de saisir un code reçu par e-mail ou par téléphone sur une page de connexion, même quand cette page est authentiquement celle de Microsoft.