Device Code Phishing

Définition

Le Device Code Phishing est une technique d'attaque exploitant le flux d'authentification OAuth 2.0 Device Authorization Grant, initialement conçu pour permettre l'authentification d'appareils dépourvus de navigateur web ou de clavier complet, comme les téléviseurs connectés ou consoles de jeu, en générant un code court que l'utilisateur saisit manuellement sur un second appareil disposant d'un navigateur. L'attaquant initie légitimement ce flux auprès de Microsoft, obtient un code de périphérique valide, puis le transmet à la victime via un email ou message de phishing prétendant qu'il s'agit d'une invitation à une réunion Teams, d'une vérification de sécurité ou d'un accès partagé à un document. La victime, en toute bonne foi, se rend sur la page officielle Microsoft de saisie de code, saisit le code fourni par l'attaquant, puis complète normalement son authentification, y compris l'authentification multifacteur si elle est configurée. Une fois cette authentification validée, c'est l'attaquant, et non la victime, qui reçoit le jeton d'accès et de rafraîchissement associé à la session, obtenant ainsi un accès complet au compte sans jamais avoir intercepté de mot de passe ni contourné techniquement le MFA. Cette technique, documentée et automatisée notamment par AADInternals, a été exploitée dans des campagnes réelles attribuées à des groupes étatiques, et se contre par la désactivation du flux Device Code via les politiques d'authentification de Microsoft Entra ID.