La plateforme PhaaS EvilTokens a compromis plus de 340 organisations Microsoft 365 en cinq pays via du phishing OAuth Device Code, contournant le MFA sans voler de mot de passe. La campagne accélère depuis fin février 2026.
En bref
- La plateforme PhaaS EvilTokens a ciblé plus de 340 organisations Microsoft 365 dans cinq pays via du phishing OAuth Device Code, contournant le MFA sans voler de mot de passe.
- La campagne, active depuis le 19 février 2026, accélère rapidement et vise des secteurs critiques : santé, finance, droit, administration.
- Les tokens OAuth volés offrent un accès persistant aux comptes M365 ; la rotation des tokens de rafraîchissement et la surveillance des logs Railway sont prioritaires.
EvilTokens : une usine à phishing M365 qui bypasse le MFA par OAuth
Les chercheurs de Huntress ont publié le 25 mars 2026 une analyse détaillée d'une campagne de phishing à grande échelle ciblant Microsoft 365, documentée sous le nom EvilTokens — une plateforme Phishing-as-a-Service (PhaaS) commercialisée depuis mi-février 2026 sur le canal Telegram NOIRLEGACY GROUP. En moins de cinq semaines, la campagne a compromis plus de 340 organisations réparties aux États-Unis, au Canada, en Australie, en Nouvelle-Zélande et en Allemagne, ciblant des secteurs particulièrement sensibles : construction, organisations à but non lucratif, immobilier, industrie manufacturière, services financiers, santé, droit et administration publique. Ce qui rend cette campagne particulièrement dangereuse, c'est qu'elle ne repose pas sur le vol de mots de passe : les attaquants utilisent le flux OAuth Device Code de Microsoft pour capturer des tokens d'accès valides et des tokens de rafraîchissement longue durée, sans que la victime n'ait jamais à saisir son mot de passe sur une page de phishing classique. Le MFA est contourné de manière native, car la victime s'authentifie elle-même via le flux légitime de Microsoft.
EvilTokens propose trois produits distincts : un "B2B Sender" pour des campagnes email ciblées entreprise-à-entreprise, un "Office 365 Capture Link" pour la collecte de tokens OAuth, et un "SMTP Sender" intégrant des workflows IA pour contourner les filtres anti-spam. L'infrastructure de collecte repose sur Cloudflare Workers comme couche de redirection et sur Railway, une plateforme PaaS légitimement utilisée par les développeurs, comme backend de collecte et de relai des sessions volées. Cette exploitation de plateformes cloud légitimes complique considérablement la détection par les outils de sécurité périmétrique traditionnels.
Pourquoi ce type d'attaque OAuth est si difficile à contrer
Le flux OAuth Device Code a été conçu à l'origine pour les appareils sans navigateur (smart TV, consoles de jeu), mais Microsoft l'a étendu à M365. Son détournement à des fins de phishing est connu depuis 2021, mais son industrialisation via des plateformes PhaaS comme EvilTokens marque une nouvelle étape. La victime reçoit un email l'invitant à valider son accès à un document, en entrant un code sur la page officielle microsoft.com/devicelogin. L'authentification est légitime — la victime s'identifie bien auprès de Microsoft — mais le token généré est immédiatement capturé par EvilTokens. Les attaquants peuvent ensuite accéder à Teams, SharePoint, OneDrive et Exchange sans déclencher d'alerte MFA.
Les techniques anti-analyse intégrées illustrent la sophistication : désactivation du clic droit, du copier-coller, blocage des raccourcis d'inspection (F12, Ctrl+Shift+I) et détection des outils développeur via un heuristique de taille de fenêtre déclenchant une boucle debugger infinie. Cette campagne s'inscrit dans la continuité des attaques contre Microsoft, après la compromission des comptes Signal ciblant des officiels observée en début d'année, et rappelle l'importance de surveiller l'ensemble des vecteurs d'authentification au-delà des seuls mots de passe. Les organisations doivent également renforcer la sécurité de leurs environnements M365 après les correctifs du Patch Tuesday.
Ce qu'il faut faire immédiatement
- Auditez vos logs Microsoft Entra ID pour des authentifications provenant d'adresses IP Railway (
railway.app/ plages Railway). - Révoquez tous les tokens de rafraîchissement M365 des comptes suspects via PowerShell :
Revoke-AzureADUserAllRefreshToken. - Bloquez le flux OAuth Device Code pour votre tenant si votre organisation ne l'utilise pas via une Conditional Access Policy.
- Sensibilisez vos équipes : aucune demande légitime de Microsoft ne passe par la saisie d'un code sur
microsoft.com/deviceloginsuite à un email non sollicité.
Le MFA protège-t-il contre ce type d'attaque OAuth Device Code ?
Non — c'est précisément le danger. La victime s'authentifie elle-même avec son MFA via le flux officiel Microsoft, mais le token généré est capturé par les attaquants. Le MFA valide l'identité de l'utilisateur mais pas l'intention derrière l'authentification. La protection passe par des Conditional Access Policies restrictives, la surveillance des IPs de connexion inhabituelles et la désactivation du flux Device Code si non nécessaire. Consultez la recherche complète de Huntress pour les indicateurs de compromission détaillés.
Besoin d'un accompagnement expert ?
Ayi NEDJIMI vous accompagne sur vos projets cybersécurité et IA.
Prendre contactÀ propos de l'auteur
Ayi NEDJIMI
Expert Cybersécurité Offensive & Intelligence Artificielle
Ayi NEDJIMI est un expert senior en cybersécurité offensive et intelligence artificielle avec plus de 20 ans d'expérience. Spécialisé en rétro-ingénierie, forensics numériques et développement de modèles IA, il accompagne les organisations dans la sécurisation d'infrastructures critiques.
Expert judiciaire et conférencier reconnu, il intervient auprès des plus grandes organisations françaises et européennes. Ses domaines couvrent l'audit Active Directory, le pentest cloud (AWS, Azure, GCP), la rétro-ingénierie de malwares et l'IA générative (RAG, LLM).
Ressources & Outils de l'auteur
Articles connexes
Mandiant M-Trends 2026 : accès initial cédé en 22 secondes
Le rapport M-Trends 2026 de Mandiant révèle que l'accès initial est cédé en 22 secondes et que les ransomwares adoptent le recovery denial pour rendre toute restauration impossible.
Medusa Ransomware : 9 jours hors-ligne pour un hôpital US
Medusa ransomware a paralysé le University of Mississippi Medical Center pendant 9 jours : 35 cliniques fermées, 1 To de données médicales exfiltrées, rançon de 800 000 dollars.
GlassWorm utilise Solana comme C2 pour son RAT furtif
GlassWorm utilise la blockchain Solana comme dead drop C2 et cible pour la première fois l'écosystème MCP, rendant son RAT quasi impossible à bloquer.
Commentaires
Aucun commentaire pour le moment. Soyez le premier à commenter !
Laisser un commentaire