Illicit Consent Grant

Définition

L'Illicit Consent Grant est une technique d'attaque ciblant les environnements Azure AD / Microsoft Entra ID et Microsoft 365, dans laquelle un attaquant enregistre une application OAuth 2.0 malveillante puis incite, via un lien de phishing, les utilisateurs à lui accorder des permissions d'accès à leurs données. Lors du clic sur le lien, la victime est redirigée vers une page de consentement Microsoft parfaitement légitime, affichant les permissions demandées par l'application, comme la lecture des emails, l'accès aux fichiers OneDrive ou au calendrier, et un simple clic sur « Accepter » octroie ces permissions sans jamais révéler de mot de passe, contournant ainsi totalement l'authentification multifacteur. Une fois le consentement accordé, l'attaquant obtient un jeton d'accès OAuth durable, exploitable indépendamment de toute modification ultérieure du mot de passe de la victime, tant que le consentement n'est pas explicitement révoqué par un administrateur. Cette technique, référencée dans MITRE ATT&CK sous T1528 (Steal Application Access Token), a été utilisée dans plusieurs campagnes réelles ciblant des organisations. Les contre-mesures principales incluent la désactivation du consentement utilisateur pour les applications tierces non vérifiées, la mise en place d'un workflow d'approbation administrateur, et l'audit régulier des applications ayant obtenu un consentement via Microsoft Entra ID Enterprise Applications.