Un serveur exposé dévoile trois opérations de phishing Microsoft 365 : comment elles fonctionnent et comment les contrer

En juillet 2026, deux découvertes parallèles ont révélé une recrudescence d'attaques de phishing sophistiquées ciblant Microsoft 365, contournant l'authentification multifacteur (MFA) via deux méthodes fondamentalement différentes : les attaques par mandataire interposé (adversary-in-the-middle, AiTM) et l'abus du flux d'authentification par code d'appareil. La première découverte provient d'une erreur d'un attaquant : un serveur web Python mal configuré qui a exposé trois campagnes en cours. La seconde vient de chercheurs qui ont traqué une nouvelle plateforme de phishing commerciale appelée Forg365. Comprendre le fonctionnement de chaque attaque est la première étape pour déployer les bonnes défenses, car la solution pour l'une n'arrête pas l'autre.

Le serveur mal configuré qui a révélé trois opérations Evilginx

Le 13 juillet 2026, les chercheurs de la société française de cybersécurité Lexfo ont découvert trois opérations de phishing actives basées sur Evilginx ciblant Microsoft 365, après qu'un attaquant ait laissé un serveur web Python exposé sur un port public avec le listage de répertoire activé. La commande python3 -m http.server 8080 était encore visible dans le fichier .bash_history du serveur. À partir de ce répertoire ouvert, Lexfo a récupéré l'intégralité de la boîte à outils de l'opérateur, les journaux, les données de victimes capturées, et a pu identifier deux autres opérateurs de phishing menant des campagnes distinctes .

Ces trois opérations étaient des campagnes de phishing AiTM basées sur Evilginx qui servaient de mandataire aux pages de connexion Microsoft 365 pour voler les jetons de session après que l'utilisateur ait terminé la MFA . L'une des trois campagnes avait enregistré 218 comptes capturés dans 12 pays, dont 94 % étaient des boîtes aux lettres professionnelles . Les opérations utilisaient deux voies d'attaque distinctes : le vol de jeton de session Evilginx (via un proxy AiTM) et le phishing par code d'appareil — un kit envoyait les victimes vers la véritable page de connexion par appareil Microsoft, où elles autorisaient elles-mêmes l'accès, et le serveur de l'attaquant interrogeait le jeton .

Forg365 : une plateforme de phishing en tant que service commerciale

Parallèlement, la plateforme de phishing en tant que service (PhaaS) Forg365 a été identifiée par les chercheurs de ZeroBEC (signalée du 9 au 13 juillet 2026) comme un kit commercial distribué via Telegram, coûtant 400 $ par mois (ou 3 800 $ par an). Contrairement aux forks Evilginx personnalisés trouvés sur le serveur exposé, Forg365 regroupe plusieurs méthodes et outils d'attaque dans un seul tableau de bord opérateur .

Forg365 combine trois capacités principales :

• Proxy AiTM — un proxy inverse transparent qui capture les jetons de session après que l'utilisateur a terminé la MFA
• Phishing par code d'appareil — abuse du flux légitime OAuth par code d'appareil de Microsoft, ce qui signifie que l'utilisateur termine l'authentification sur une vraie page Microsoft sans que l'attaquant ne voie jamais son mot de passe
• Génération de leurres assistée par IA — utilise l'IA pour créer des emails de phishing et des pages d'atterrissage convaincants qui imitent SharePoint, OneDrive, DocuSign et Adobe Acrobat Sign

La plateforme comprend également un contournement antibot (détecte les bacs à sable et les robots de sécurité), un accès à la boîte aux lettres après compromission (les opérateurs peuvent naviguer et exfiltrer les emails depuis le panneau), une rotation SMTP et une planification de campagne .

Une attaque vole les jetons après la MFA ; l'autre abuse d'un protocole légitime

Ces deux découvertes illustrent la distinction cruciale entre les attaques par proxy AiTM et l'abus de code d'appareil. Comprendre la différence est essentiel car la même défense ne fonctionne pas pour les deux :

• Attaques par proxy AiTM (style Evilginx) : L'attaquant met en place une fausse page de connexion qui sert de proxy vers la vraie page de connexion Microsoft. L'utilisateur saisit son mot de passe et effectue la MFA sur le proxy de l'attaquant. Après une authentification réussie, Microsoft émet un cookie de session vers ce qu'il croit être le navigateur légitime de l'utilisateur — mais ce cookie atterrit en fait dans le proxy de l'attaquant, pas dans le navigateur de l'utilisateur. L'attaquant peut alors rejouer ce cookie pour accéder au compte Microsoft 365 de la victime .

• Phishing par code d'appareil : L'attaquant génère un code d'appareil Microsoft légitime (un code court utilisé pour se connecter sur des appareils sans clavier, comme les téléviseurs connectés) et l'envoie à la victime dans un email de phishing. La victime visite la vraie page de connexion Microsoft, saisit le code, effectue la MFA et autorise l'application de l'attaquant. Rien n'est « contourné » — la victime a autorisé l'accès. Le serveur de l'attaquant interroge ensuite Microsoft pour obtenir le jeton .

Défenses recommandées : quels contrôles arrêtent chaque attaque

Défenses contre les attaques par mandataire interposé (style Evilginx)

La défense la plus efficace contre les attaques par proxy AiTM est la MFA résistante au phishing, spécifiquement FIDO2/WebAuthn et les passkeys (clés d'accès). Ces méthodes lient les identifiants au nom de domaine légitime. Ainsi, lorsque le navigateur de l'utilisateur se connecte au site proxy de l'attaquant (qui a un nom de domaine différent), le protocole d'authentification détecte l'incompatibilité de domaine et bloque automatiquement l'échange d'identifiants .

Autres défenses :

• Stratégies d'accès conditionnel (Entra ID) : Exiger la conformité de l'appareil et des exigences de localisation de confiance pour bloquer l'émission de jetons depuis des proxies non fiables
• Évaluation d'accès continu (CAE) : Permet la révocation de jetons en quasi-temps réel lorsque des conditions risquées sont détectées
• Surveillance de l'utilisation anormale des jetons : Rechercher les jetons utilisés depuis une adresse IP ou un pays différent de celui où ils ont été émis, les voyages impossibles et les « propriétés de connexion inconnues »
• Bloquer les noms de domaine de phishing nouvellement enregistrés : Surveiller les domaines enregistrés au cours des 30 derniers jours qui pointent vers des plages d'adresses IP d'hébergement connues pour être utilisées par l'infrastructure de phishing

Défenses contre l'abus d'authentification par code d'appareil

Le phishing par code d'appareil n'oblige pas l'attaquant à amener l'utilisateur à saisir ses identifiants sur une fausse page : l'utilisateur interagit avec la vraie page de connexion Microsoft. Cela signifie que les FIDO2/passkeys ne protègent pas entièrement contre cette attaque, car le flux OAuth légitime est utilisé .

La défense principale consiste à bloquer l'octroi OAuth par code d'appareil pour les utilisateurs qui n'en ont pas besoin, à l'aide de l'accès conditionnel Microsoft Entra ID :

• Créer une stratégie utilisant la condition « Flux d'authentification » pour bloquer le flux de code d'appareil pour tous les utilisateurs, à l'exception d'un groupe d'exception documenté
• Avant de bloquer, exécutez-la en mode rapport uniquement ou vérifiez les journaux de connexion historiques pour identifier l'utilisation légitime du code d'appareil (par exemple, téléviseurs connectés, appareils de salle de conférence)
• Prévoyez une exception pour le service d'enregistrement d'appareil (DRS), car le blocage du flux de code d'appareil peut interférer avec Autopilot et l'inscription des appareils Windows

Défenses supplémentaires :

• Restreindre le consentement de l'application et les étendues d'octroi OAuth : Limiter les applications pouvant utiliser les octrois par code d'appareil et auditer régulièrement les applications consenties
• Déployer la MFA résistante au phishing même pour les flux de code d'appareil : Bien que ce ne soit pas une solution complète, les clés matérielles FIDO2 ou l'authentification par certificat réduisent encore la surface d'attaque

L'essentiel

L'avis public du FBI de mai 2026 sur la plateforme Kali365 PhaaS recommandait spécifiquement de bloquer le flux de code d'appareil comme défense principale . Alors que les plateformes de phishing comme Forg365 continuent de commercialiser ces techniques d'attaque, l'urgence opérationnelle pour les défenseurs est claire : déployer les FIDO2/passkeys pour tous les comptes privilégiés afin d'arrêter les attaques par proxy AiTM, et utiliser l'accès conditionnel pour désactiver l'octroi par code d'appareil pour les utilisateurs qui n'en ont pas besoin. Un seul répertoire ouvert a peut-être exposé trois campagnes — mais les leçons s'appliquent à chaque locataire Microsoft 365.