APT29 : OAuth et WhatsApp détournés pour espionner l'Europe

Une opération d'espionnage qui exploite la confiance dans OAuth

Le 21 août 2026, l'équipe de renseignement sur les menaces de Google (Google Threat Intelligence Group — GTIG) a publié un rapport détaillé sur une opération d'espionnage coordonnée attribuée à plusieurs sous-groupes d'APT29, le groupe de cyberespionnage lié au Service de renseignement extérieur russe (SVR). Connus sous les appellations Cozy Bear, Midnight Blizzard ou Ice Relic, ces acteurs ont développé une nouvelle technique d'intrusion qui exploite la légitimité des protocoles OAuth pour compromettre des comptes à haute valeur stratégique.

GTIG a identifié trois clusters distincts impliqués dans cette campagne : UNC6293, UNC7005 et UNC5976. Les deux premiers sont vraisemblablement des sous-unités du même ensemble de capacités, tandis qu'UNC5976 a été observé depuis mars 2026 avec une spécialisation marquée dans les attaques à composante d'authentification. La granularité de ces distinctions témoigne de la sophistication organisationnelle du groupe, capable de mener simultanément plusieurs opérations avec des tactiques distinctes.

La campagne menée par UNC7005 entre le 6 et le 13 août 2026 illustre parfaitement cette approche. Des e-mails de phishing ciblés ont été envoyés à des individus liés à l'industrie européenne de la défense. Ces messages contenaient un lien vers un domaine contrôlé par les attaquants, mais renvoyaient vers une URL OAuth Microsoft tout à fait légitime. C'est dans cette subtilité que réside le vecteur d'attaque : la page de connexion est authentique, mais elle déclenche en coulisses une demande d'autorisation pour une application tierce contrôlée par les opérateurs du groupe d'espionnage.

La variante WhatsApp est particulièrement ingénieuse. UNC7005 exploite la fonctionnalité de liaison d'appareil de WhatsApp, qui permet à un utilisateur de connecter son compte à un nouveau terminal via un QR code ou un code de liaison. Dans les attaques observées, la page frauduleuse affiche une vraie demande de liaison d'appareil WhatsApp — réelle au sens technique du terme — mais pour un appareil contrôlé par les attaquants. La cible, voyant un QR code WhatsApp apparemment normal, scanne le code et autorise ainsi l'accès à ses messages en temps réel pour l'adversaire, sans qu'aucun logiciel malveillant ne soit installé sur son terminal.

Le vecteur de l'authentification par code d'appareil (device code phishing) cible quant à lui les flux OAuth de Microsoft. Cette technique consiste à initier une demande d'authentification sur un terminal dit offline — télévision connectée, imprimante professionnelle, équipement IoT industriel — et à envoyer le code à usage unique généré à la victime via un e-mail ou un message de phishing. Lorsque la victime entre ce code sur le vrai portail Microsoft pour activer un appareil, elle transmet en réalité un jeton OAuth valide à l'attaquant. Aucune vulnérabilité technique n'est exploitée : seule la confiance de la victime dans un processus qu'elle perçoit comme légitime est détournée.

Les cibles documentées couvrent un spectre large : institutions académiques, entreprises du secteur aérospatial, agences gouvernementales, organisations à but non lucratif, think tanks géopolitiques — essentiellement des entités détenant des informations sensibles sur les politiques de défense, les technologies militaires ou les relations diplomatiques. La concentration géographique sur l'Europe et les États-Unis s'inscrit dans le contexte de la guerre en Ukraine et des tensions persistantes autour des fournitures d'armements occidentaux. L'espionnage numérique ciblé sur l'industrie de la défense européenne est devenu une priorité stratégique documentée du SVR depuis 2022.

UNC5976, le troisième cluster, se distingue par une approche plus systématique des flux d'authentification. Suivi par GTIG depuis mars 2026, ce groupe combine plusieurs méthodes — phishing de mots de passe d'application, device code phishing et OAuth phishing — parfois dans le même mois et contre les mêmes cibles. Cette polyvalence tactique lui permet de s'adapter rapidement lorsqu'une technique est détectée, en basculant vers un vecteur alternatif sans perdre l'accès aux cibles de longue durée.

Le rapport de Google intervient dans un contexte où plusieurs fournisseurs de sécurité — Microsoft, Mandiant, CrowdStrike — avaient déjà documenté des campagnes similaires attribuées à APT29. L'exploitation d'OAuth dans des attaques contre les systèmes Microsoft avait été révélée en 2024, et des campagnes de device code phishing contre des ONG européennes avaient été signalées en 2025. La sophistication croissante des méthodes et la diversification des sous-groupes indiquent une montée en puissance des capacités cyber du SVR, alimentée par les besoins en renseignement stratégique liés au conflit ukrainien. Selon GTIG, ces groupes mutualisent des infrastructures tout en maintenant des spécialisations opérationnelles distinctes — un modèle organisationnel qui maximise la résilience et la productivité offensive.

Pourquoi cette campagne redéfinit les défenses antiphishing classiques

La portée de cette campagne dépasse largement son impact immédiat sur les cibles identifiées. Elle illustre une évolution fondamentale dans les tactiques d'espionnage numérique : l'abandon progressif des malwares traditionnels au profit de l'exploitation des protocoles d'authentification légitimes. Pour les équipes de sécurité, cette mutation représente un défi majeur. Les solutions de détection basées sur les signatures, les filtres antimalware et même les EDR (Endpoint Detection and Response) ne voient rien d'anormal lorsque le trafic malveillant transite par des flux OAuth authentiques de Microsoft ou des QR codes WhatsApp réels.

Le terme de living off the identity (LOTI), par analogie avec le living off the land (LOTL), commence à émerger dans la communauté de la sécurité pour décrire cette approche. Tout comme les attaquants qui utilisent des outils légitimes du système d'exploitation (PowerShell, WMI, certutil) pour éviter la détection, les opérateurs d'APT29 exploitent désormais des flux d'authentification légitimes pour conquérir des accès sans lever d'alertes. Les journaux de connexion montrent des authentifications réussies depuis des adresses IP légitimes — il n'y a rien de suspect à première vue dans les tableaux de bord de sécurité standards.

Pour les entreprises du secteur de la défense, de l'aérospatiale ou des institutions gouvernementales, cette campagne est un signal d'alarme. Les contrôles traditionnels — formation au phishing, filtrage d'e-mails, authentification multifacteur par SMS ou TOTP — ne suffisent plus face à des attaques qui contournent ces défenses en s'appuyant sur des flux légitimes. Le MFA n'est plus suffisant si l'utilisateur autorise lui-même un accès OAuth à une application malveillante ou scanne un QR code de liaison d'appareil pour un terminal contrôlé par l'adversaire. Cette limite structurelle du MFA basé sur les codes est désormais bien documentée par la communauté de la sécurité.

Les recommandations prioritaires pour se défendre contre ces vecteurs incluent la révision régulière des autorisations OAuth accordées dans les environnements Microsoft 365 et Google Workspace, la mise en place de politiques de Conditional Access restreignant les autorisations d'application non approuvées, la surveillance des demandes d'authentification par code d'appareil (flux device_code dans les journaux Azure AD et Entra ID), et la sensibilisation des équipes aux techniques de QR code phishing. La solution la plus robuste reste l'adoption de clés de sécurité FIDO2 physiques (passkeys), qui ne peuvent pas être détournées par des techniques de relay ou de proxy, car elles lient cryptographiquement l'authentification au domaine légitime de la page visitée. Pour les organisations exposées — défense, énergie, institutions européennes — le passage au FIDO2 pour les comptes privilégiés devrait être une priorité de roadmap sécurité pour le second semestre 2026.

Ce qu'il faut retenir

• APT29 opère via trois sous-groupes combinant OAuth phishing, device code phishing et liaison d'appareil WhatsApp pour compromettre des comptes sans déployer de malware traditionnel.
• Les cibles — défense, aérospatial, gouvernements, think tanks en Europe et aux États-Unis — reflètent les besoins en renseignement stratégique liés au contexte géopolitique.
• La défense efficace passe par la surveillance des autorisations OAuth, les politiques de Conditional Access et l'adoption de clés FIDO2 pour les comptes privilégiés.