Skyw4lker contourne le MFA Microsoft 365 via OAuth

Ce qui s'est passé

Des chercheurs en sécurité ont publié le 28 octobre 2026 une analyse détaillée de la campagne Skyw4lker, un kit de phishing sophistiqué qui détourne le protocole d'authentification OAuth 2.0 de Microsoft pour prendre le contrôle de comptes Microsoft 365, en contournant intégralement l'authentification multi-facteurs (MFA) sans jamais demander de mot de passe à la victime.

La technique exploitée, connue sous le nom de « device code phishing » ou « device authorization grant abuse », repose sur un flux OAuth légitime conçu à l'origine pour faciliter la connexion sur des appareils sans clavier — téléviseurs connectés, imprimantes réseau, consoles — qui ne peuvent pas afficher facilement une page de connexion standard. Dans ce flux, l'appareil génère un code à usage unique et invite l'utilisateur à se rendre sur une URL Microsoft pour approuver la connexion sur un second appareil. L'attaquant se substitue à l'appareil légitime : il génère le code d'autorisation côté attaquant, l'envoie à la victime sous couvert d'un document professionnel, et récupère le jeton d'authentification émis par Microsoft dès que la victime valide la demande.

Le processus d'infection documenté suit un enchaînement précis. La victime reçoit d'abord un e-mail contenant une pièce jointe protégée par un mot de passe — un contrat, un devis ou une proposition de service — ce qui permet de contourner les filtres anti-spam qui scannent les pièces jointes non chiffrées. Le mot de passe est fourni dans le corps de l'e-mail, invitant la victime à ouvrir le document. Le fichier redirige ensuite vers une page hébergée sur l'infrastructure de Google (Google Sites ou Google Docs), ce qui accroît la légitimité perçue. La page intègre une porte CAPTCHA pour bloquer les bots d'analyse automatisée, puis présente un code de type XXXXX-XXXXX en demandant à l'utilisateur de le saisir sur une page Microsoft officielle (microsoft.com/devicelogin). Cette URL est authentique : c'est le point d'entrée du flux device-code de Microsoft. La victime se connecte normalement, approuve la demande, et l'attaquant récupère le jeton OAuth complet, incluant les refresh tokens longue durée.

Ce jeton donne accès à l'ensemble des ressources Microsoft 365 associées au compte : messagerie Outlook, SharePoint, OneDrive, Teams et potentiellement les ressources Azure via Entra ID. Le MFA, pourtant activé sur le compte, n'est d'aucune utilité : la victime a elle-même validé la demande d'authentification sur le portail Microsoft officiel. Les solutions anti-phishing classiques qui inspectent les URLs ou les domaines d'expéditeurs ne détectent pas la menace, car aucune URL frauduleuse n'est jamais présentée à la victime.

L'analyse des soumissions sandbox entre juin et octobre 2026 révèle une montée en puissance significative : de 20 cas mensuels en juin, le volume a grimpé à 200 cas en septembre, soit une multiplication par dix en quatre mois. Au total, 618 soumissions ont été recensées, dont 46 % provenant d'organisations américaines. Les secteurs les plus touchés sont la fabrication industrielle, la technologie et les soins de santé — trois industries particulièrement sensibles à la compromission de comptes de messagerie d'entreprise (BEC, Business Email Compromise).

La campagne a été baptisée Skyw4lker par les chercheurs qui ont découvert des indicateurs internes correspondant à ce nom dans la structure du kit. L'infrastructure utilisée mêle domaines jetables, pages Google hébergées sur des sous-domaines légitimes, et serveurs de récupération de tokens situés dans des zones géographiques variées pour compliquer l'attribution.

Les chercheurs soulignent que la technique n'est pas nouvelle — des démonstrations académiques du device code phishing existaient dès 2021 — mais que son industrialisation dans un kit clé en main, avec CAPTCHA, leurres professionnels et infrastructure anti-détection, représente une évolution qualitative significative. La disponibilité d'un tel kit abaisse considérablement la barrière d'entrée pour des attaquants peu techniques souhaitant compromettre des environnements M365 tout en contournant le MFA.

Microsoft n'a pas commenté publiquement cet incident au moment de la publication, mais ses équipes de sécurité ont été notifiées. Le protocole device-code OAuth reste fonctionnel et légitime ; sa désactivation n'est pas envisageable sans impact opérationnel sur les usages légitimes tels que les appareils sans navigateur intégré.

Pourquoi c'est important

Le MFA est depuis des années présenté comme la défense la plus accessible et la plus efficace contre les compromissions de comptes. Des études récurrentes de Microsoft estiment qu'il bloque plus de 99 % des attaques de prise de contrôle automatisées. La démonstration de Skyw4lker illustre un phénomène bien documenté dans la sécurité : le MFA n'est pas une protection absolue, il déplace l'objectif des attaquants vers les mécanismes d'approbation eux-mêmes.

Ce type d'attaque s'inscrit dans une famille croissante de techniques dites adversary-in-the-middle (AiTM) ou consent phishing. D'autres kits, comme EvilProxy, Modlishka ou Tycoon 2FA, ont démontré des capacités similaires en interposant un proxy entre la victime et Microsoft pour capturer les cookies de session. Skyw4lker est plus élégant encore : il n'a pas besoin de proxy, il abuse d'un flux Microsoft légitime. L'utilisateur parle directement à Microsoft — simplement pour un code généré par l'attaquant.

Pour les équipes de sécurité et les RSSI, les implications sont directes. Les formations classiques anti-phishing — « ne cliquez pas sur les liens suspects », « vérifiez le domaine de l'expéditeur » — ne couvrent pas ce scénario, où aucun lien frauduleux n'est affiché. La surface d'attaque à adresser est le comportement d'approbation des demandes d'authentification. Les contrôles techniques pertinents incluent les politiques Conditional Access qui limitent le flux device-code aux appareils gérés, la surveillance des connexions OAuth inhabituelles dans les journaux Entra ID, et la restriction des flux d'authentification hérités (legacy auth) et non interactifs.

Sur le plan réglementaire, les entreprises opérant sous NIS2 ou DORA doivent intégrer ce vecteur dans leurs évaluations de risques. La compromission d'un compte M365 par cette méthode constitue une intrusion dans un système d'information et peut déclencher des obligations de notification. L'absence de traces de mots de passe volés dans les journaux peut également compliquer la détection et la chronologie de l'incident lors d'investigations forensiques.

Ce qu'il faut retenir

• Skyw4lker contourne le MFA Microsoft 365 sans jamais voler de mots de passe, en abusant du flux OAuth device-code pour faire valider la connexion par la victime elle-même.
• La campagne est active depuis juin 2026, a ciblé 618 organisations (46 % américaines) et a décuplé son volume mensuel entre juin et septembre.
• Mesure défensive prioritaire : configurer des politiques Conditional Access dans Entra ID pour restreindre le flux device-code et activer la surveillance des connexions OAuth non interactives.