Phishing de passkeys : Storm-3121 pirate les comptes Microsoft 365

Des passkeys détournés par téléphone et faux portails

Le 13 septembre 2026, Microsoft a publié une alerte détaillant deux campagnes d'attaque distinctes mais coordonnées visant ses clients cloud. La première repose sur un mécanisme d'ingénierie sociale sophistiqué centré sur l'usurpation d'identité du support informatique interne. Des attaquants contactent les employés directement sur leur téléphone personnel, se présentant comme des agents de la DSI ou du helpdesk, et leur demandent de mettre immédiatement à jour leur passkey, leur configuration MFA ou leurs credentials SSO pour éviter une interruption de service imminente.

Une fois la victime persuadée d'agir, un SMS lui est envoyé sur son mobile personnel avec un lien redirigant vers un site frauduleux imitant fidèlement l'interface de connexion Microsoft. Ces portails, hébergés sur des infrastructures changeantes, capturent en temps réel les identifiants saisis et les tokens de session via un proxy adversary-in-the-middle. La session authentifiée est alors rejouée côté attaquant, qui obtient un accès complet au compte Microsoft 365 de la victime sans jamais avoir besoin de son mot de passe ou de son second facteur réel.

Ce qui rend la campagne particulièrement redoutable, c'est qu'elle détourne la confiance des utilisateurs envers les technologies censées les protéger. Les passkeys et l'authentification MFA sont présentés dans l'écosystème de sécurité comme les remplaçants résistants au phishing des mots de passe classiques. En ciblant précisément le moment de configuration ou de mise à jour de ces mécanismes, Storm-3121 exploite une fenêtre temporelle où l'utilisateur est psychologiquement en mode « maintenance sécurité » et donc moins méfiant.

Microsoft attribue cette campagne au groupe Storm-3121, actif depuis au moins mai 2024 et suivi sous l'alias UNC6671 par Mandiant. Le groupe cible principalement les grandes entreprises et les administrations utilisant Microsoft Entra ID et Microsoft 365, avec une préférence marquée pour les environnements disposant d'accès privilégiés à des données financières ou à des informations sensibles. Une fois à l'intérieur du tenant, les attaquants procèdent à une exfiltration méthodique : emails, fichiers SharePoint, données OneDrive, carnets d'adresses et parfois pipelines d'automatisation Power Automate.

La seconde campagne, attribuée à Storm-3032, est d'une nature différente. Entre le 3 et le 5 août 2026, plus d'un million d'emails frauduleux ont été envoyés en usurpant l'identité de PDG de diverses entreprises cibles. Ces messages visaient les équipes comptabilité et finance en les pressant d'initier des virements ACH pour un prétendu renouvellement d'abonnement annuel ServiceNow. La campagne exploite la messagerie d'entreprises tierces légitimes, détournée ou louée, pour contourner les filtres antispam et gagner en crédibilité.

Sur le plan technique, les deux groupes partagent des infrastructures de livraison similaires : utilisation de services de messagerie cloud légitimes pour envoyer des emails, rotation rapide de domaines d'hameçonnage, et recours à des réseaux résidentiels de proxies pour masquer l'origine des connexions. Storm-3121 déploie également des agents automatisés qui testent les credentials volés en quasi-temps réel pour identifier les comptes à privilèges élevés avant que les équipes de sécurité ne révoquent les sessions.

Microsoft indique avoir neutralisé une partie des infrastructures utilisées par ces deux groupes et avoir notifié les clients affectés. La divulgation publique vise à permettre à l'ensemble des organisations de déployer des contre-mesures avant que les campagnes ne reprennent sous une forme adaptée. Les équipes Microsoft Security ont publié des règles de détection spécifiques pour les SIEM et Microsoft Sentinel afin d'identifier les comportements caractéristiques de ces deux groupes.

Les indicateurs de compromission publiés par Microsoft incluent des patterns d'URLs de redirection, des signatures comportementales dans les logs Entra ID et des heuristiques de détection de sessions AitM. Les organisations sont invitées à revoir leurs politiques d'accès conditionnel, notamment pour bloquer les connexions depuis des proxies résidentiels et exiger une ré-authentification renforcée pour tout changement de méthode d'authentification.

Pourquoi l'ingénierie sociale reste la faille principale du Zero Trust

Ces deux campagnes illustrent une tendance de fond : les attaquants ne cherchent plus à casser les technologies de sécurité par la force brute, ils ciblent les utilisateurs au moment précis où ceux-ci interagissent avec ces technologies. Microsoft a massivement promu les passkeys et l'authentification phishing-resistant comme la réponse définitive aux attaques de credential stuffing. Storm-3121 répond en transformant le moment de provisioning de ces mécanismes en vecteur d'attaque.

Le modèle Zero Trust, que Microsoft promeut activement via Microsoft Entra ID, repose sur le principe de ne jamais faire confiance implicitement, même à l'intérieur du périmètre réseau. Mais cette architecture présuppose que les utilisateurs sont éduqués pour distinguer une demande de reconfiguration légitime d'une tentative de manipulation. Or la sophistication des appels téléphoniques de Storm-3121 — scripts précis, connaissance partielle de l'environnement IT de la cible, urgence simulée — met à rude épreuve même des employés sensibilisés.

Cette campagne s'inscrit dans une évolution plus large du paysage des menaces où les groupes APT et cybercriminels convergent vers des techniques mixtes combinant l'intelligence sociale, l'automatisation et les attaques sur l'identité. Selon les données de Microsoft, plus de 600 millions d'attaques sur les identités sont détectées chaque jour sur les services Microsoft, dont une proportion croissante implique du phishing AitM. La campagne Storm-3121 représente la forme la plus avancée de cette tendance : un ciblage précis, une ingénierie sociale téléphonique, et une exploitation automatisée des sessions volées.

Sur le plan réglementaire, les organisations européennes soumises à NIS2 et DORA ont l'obligation de documenter et de notifier ce type d'incident. Un compte administrateur Microsoft 365 compromis qui donne accès à des données financières ou à des systèmes critiques entre clairement dans le périmètre de notification obligatoire. Les équipes de conformité doivent donc s'assurer que leurs procédures de réponse aux incidents couvrent explicitement les compromissions via ingénierie sociale sur les mécanismes d'authentification.

Ce qu'il faut retenir

• Ne jamais reconfigurer passkey, MFA ou SSO suite à un appel téléphonique non sollicité, même si l'appelant connaît des détails sur votre environnement IT.
• Déployer des politiques d'accès conditionnel bloquant les sessions depuis des proxies résidentiels et exigeant une ré-authentification pour tout changement de méthode d'authentification.
• Activer les alertes Sentinel pour les patterns AitM décrits par Microsoft et consulter les indicateurs de compromission publiés dans l'avis du 13 septembre 2026.