Les campagnes de phishing ciblant les utilisateurs de Microsoft 365 deviennent de plus en plus difficiles à détecter, les attaquants s’appuyant de plus en plus sur l’infrastructure d’authentification légitime de Microsoft plutôt que sur les fausses pages de connexion. Selon new research from Check Point , ce changement permet aux acteurs malveillants de tirer parti de la confiance que les utilisateurs accordent aux services Microsoft tout en évitant de nombreux indicateurs traditionnellement associés aux sites de phishing.
Plutôt que de tenter de voler des noms d’utilisateur et mots de passe via de fausses pages de connexion, les campagnes observées abusent du processus d’authentification par code d’appareil de Microsoft, une fonctionnalité conçue pour les appareils qui ne peuvent pas facilement afficher une interface de connexion complète ni accepter des saisies utilisateur complexes. Comme les victimes sont dirigées vers des domaines Microsoft authentiques lors du processus de connexion, elles sont moins susceptibles de remettre en question la demande, et les contrôles de sécurité qui reposent sur l’identification de sites web frauduleux peuvent avoir moins d’opportunités d’intervenir.
Check Point a constaté que les attaquants contactent d’abord les victimes potentielles via des emails de phishing conçus pour apparaître comme des communications professionnelles légitimes. Au lieu de demander aux destinataires de vérifier un compte ou de réinitialiser un mot de passe, les messages les encouragent à effectuer ce qui semble être une étape d’authentification de routine. La victime est invitée à saisir un code d’appareil via le véritable portail de connexion de Microsoft, autorisant sans le savoir une session initiée par l’attaquant plutôt qu’une session associée à son propre appareil.
Une fois l’approbation accordée, l’attaquant peut obtenir des jetons d’authentification qui donnent accès à l’environnement Microsoft 365 de la victime sans avoir besoin du mot de passe du compte. Selon les autorisations accordées et la configuration du compte, cet accès peut permettre à l’acteur de la menace de consulter les e-mails, d’interagir avec les ressources cloud et de maintenir l’accès jusqu’à l’expiration ou la révocation des jetons émis.
La recherche met en lumière en quoi cette technique diffère du phishing conventionnel. Au lieu de contrecarrer la capacité d’un utilisateur à reconnaître un faux site web, les attaquants exploitent une fonctionnalité légitime telle qu’elle a été conçue pour fonctionner, rendant la composante ingénierie sociale de l’attaque bien plus importante que la tromperie technique. En conséquence, les utilisateurs peuvent croire qu’ils effectuent une connexion Microsoft normale parce que chaque page rencontrée appartient à Microsoft.
Selon Check Point, l’utilisation croissante de services cloud de confiance dans les opérations de phishing reflète une évolution plus large de la cybercriminalité. À mesure que les organisations améliorent leur capacité à détecter les domaines usurpés et les portails de connexion clonés, les attaquants se tournent de plus en plus vers l’abus de plateformes légitimes et de flux d’authentification pour atteindre le même objectif tout en réduisant la probabilité d’être détectés.
Les chercheurs recommandent aux organisations de sensibiliser les employés au phishing par code d’appareil et de surveiller de près les activités d’authentification en cas d’autorisations d’appareils imprévues. Les utilisateurs doivent être prudents lorsqu’ils reçoivent des demandes non sollicitées pour saisir un code d’appareil, même si la page de connexion est hébergée sur un domaine Microsoft authentique. Les équipes de sécurité devraient également examiner les événements d’authentification basés sur des jetons et enquêter sur les activités d’autorisation inhabituelles, car l’absence d’un faux site web ne garantit plus qu’une demande de connexion est légitime.