Phishing OAuth : le FBI alerte sur des cibles de haut profil

Le FBI sonne l'alarme sur une technique de phishing sans vol de mot de passe

Le Federal Bureau of Investigation (FBI) a publié le 1er septembre 2026 une alerte de sécurité publique via son Internet Crime Complaint Center (IC3), référencée PSA260901, mettant en garde contre une campagne active d'« OAuth consent phishing » ciblant des individus de haut profil. Selon le bureau fédéral, cette activité malveillante est documentée depuis la fin 2025 et continue de s'intensifier en 2026, avec une sophistication croissante dans les prétextes utilisés pour abuser la confiance des victimes ciblées.

La technique exploitée, connue sous le nom d'OAuth consent phishing ou phishing de consentement OAuth, s'appuie sur le protocole d'authentification OAuth 2.0, omniprésent dans les environnements cloud modernes. Contrairement au phishing classique qui vise à dérober un mot de passe, cette approche incite la victime à accorder volontairement des permissions d'accès à une application malveillante, présentée comme un outil légitime. L'attaquant obtient ainsi un token d'accès — une clé numérique — qui lui confère des droits persistants sur les ressources cloud de la cible, indépendamment de tout changement ultérieur de mot de passe ou de méthode d'authentification multifacteur (MFA).

Les attaquants identifiés dans cette campagne usurpent principalement l'identité d'officiels gouvernementaux américains, de journalistes reconnus et de personnalités publiques. Le scénario-type décrit par le FBI consiste à envoyer un message — souvent par email ou via une plateforme de messagerie professionnelle — demandant à la cible de consulter un document en cours de rédaction, un communiqué de presse ou un rapport confidentiel. Le lien joint redirige vers une page de consentement OAuth d'apparence parfaitement légitime, hébergée sur les domaines officiels de Microsoft ou Google, sur laquelle l'application malveillante sollicite des permissions étendues : lecture des emails, accès aux fichiers, gestion des contacts et du calendrier.

La nature des cibles sélectionnées révèle la dimension potentiellement géopolitique ou d'espionnage de cette campagne. En visant des fonctionnaires, des proches de personnalités influentes et des journalistes d'investigation, les opérateurs cherchent à obtenir un accès durable à des communications sensibles, à des sources confidentielles ou à des informations stratégiques. Le FBI précise que les attaquants ne se limitent pas aux cibles directes : les membres de la famille et les contacts personnels des individus ciblés sont également visés, permettant d'accéder indirectement aux cercles de confiance des personnalités recherchées — une approche caractéristique des opérations d'influence et de renseignement.

Ce qui rend cette attaque particulièrement redoutable est sa persistance intrinsèque. Une fois le consentement accordé par la victime, l'attaquant dispose d'un accès continu et silencieux aux ressources autorisées. Changer son mot de passe, activer une nouvelle méthode d'authentification à deux facteurs, ou même réinitialiser son compte ne suffit pas à couper cet accès. Seule la révocation explicite du token dans la section dédiée aux applications tierces des paramètres de sécurité du compte — « Applications et permissions » chez Microsoft Entra, « Applications tierces avec accès au compte » dans la console Google — met effectivement fin à l'intrusion. Cette caractéristique est méconnue d'une grande majorité d'utilisateurs, y compris dans les milieux avertis.

L'IC3 recommande à toutes les personnes susceptibles d'être ciblées — responsables politiques, dirigeants d'entreprise, journalistes, avocats, militants et membres de think tanks — d'auditer régulièrement les applications autorisées à accéder à leurs comptes Microsoft 365 et Google Workspace. La vigilance doit porter sur toute demande d'accès à un document partagé émanant d'un expéditeur inconnu ou d'un contexte inhabituel, même si le lien pointe vers des pages d'authentification Microsoft ou Google en apparence authentiques. L'URL de la page de consentement peut être officielle tout en servant une application malveillante enregistrée.

D'après les informations relayées par Help Net Security et CyberScoop, l'infrastructure utilisée par les attaquants fait l'objet d'une investigation active par les services fédéraux. Plusieurs médias spécialisés évoquent des similitudes avec des TTPs (Tactics, Techniques and Procedures) attribuées par le passé à des groupes liés à des États adversaires, sans qu'une attribution formelle ait été publiée à ce stade par le FBI. Le bureau fédéral n'a pas officiellement nommé de groupe ou d'État dans sa communication publique, une pratique courante dans les phases actives d'investigation.

Cette alerte fait suite à une série de mises en garde similaires sur l'exploitation du protocole OAuth par des acteurs malveillants étatiques. En 2023, Microsoft avait signalé l'utilisation de cette technique par le groupe Midnight Blizzard (APT29) pour compromettre des accès à des services cloud d'organisations gouvernementales. La résurgence et l'intensification de cette méthode en 2026 témoignent de son efficacité persistante : malgré la sensibilisation croissante des équipes de sécurité, la dimension sociale et le recours aux interfaces officielles des grands éditeurs continuent de tromper même des utilisateurs expérimentés.

OAuth, un protocole robuste mais mal gouverné en entreprise

Le protocole OAuth 2.0 est aujourd'hui l'épine dorsale des intégrations applicatives dans les environnements cloud professionnels. Des centaines de milliers d'applications tierces s'appuient sur OAuth pour accéder aux ressources Microsoft 365 ou Google Workspace des entreprises et des particuliers. Si ce modèle de délégation d'accès est techniquement solide lorsqu'il est utilisé à bon escient, il représente une surface d'attaque massive dès lors que des utilisateurs accordent des permissions à des applications malveillantes sans mesurer les conséquences de leur geste.

Pour les équipes de sécurité des entreprises, la gestion du consentement OAuth est devenue un enjeu de gouvernance des identités (IAM) à part entière. Les solutions de CASB (Cloud Access Security Broker) et de gestion des identités cloud permettent de surveiller et de contrôler les applications tierces autorisées dans les tenants Microsoft 365 et Google Workspace. Les fonctionnalités d'App Governance disponibles dans Microsoft Defender for Cloud Apps offrent notamment la capacité de détecter les applications suspectes, de révoquer des consentements en masse et de définir des politiques d'autorisation restrictives — par exemple, en n'autorisant que les applications certifiées par l'éditeur ou préalablement approuvées par l'administrateur IT.

La dimension humaine reste le facteur critique. Les attaques par consentement OAuth tirent profit de la confiance que les utilisateurs accordent aux pages d'authentification des grands éditeurs. Même un utilisateur averti peut être trompé par un scénario bien construit et une interface visuellement identique aux pages officielles. La formation des utilisateurs à risque — dirigeants, juristes, équipes de communication — doit intégrer spécifiquement cette menace et la différencier clairement du phishing classique : ici, aucun mot de passe n'est demandé, et la page d'accueil OAuth est hébergée sur un domaine Microsoft ou Google légitime.

Du point de vue réglementaire, les incidents résultant d'un consentement OAuth non contrôlé peuvent engager la responsabilité des organisations sous NIS2 et le RGPD, si des données personnelles de clients ou d'employés sont compromises via ce vecteur. Les RSSI doivent traiter le consentement OAuth non comme un détail technique mais comme un vecteur de risque à part entière, nécessitant une gouvernance formalisée, des contrôles compensatoires dans les consoles d'administration cloud, et une intégration dans les processus de réponse aux incidents.

Ce qu'il faut retenir

• Le FBI alerte sur une campagne active d'OAuth consent phishing visant des personnalités et officiels — un vecteur d'attaque ne nécessitant ni vol de mot de passe ni exploitation de vulnérabilité technique.
• L'accès obtenu est persistant et résiste aux changements de mot de passe et à la MFA : seule la révocation manuelle des tokens dans les paramètres du compte peut y mettre fin.
• Les équipes IT doivent auditer régulièrement les applications tierces autorisées dans leurs tenants Microsoft 365 et Google Workspace, et déployer des politiques de consentement restrictives dans les consoles d'administration cloud.