Trois secondes. C’est le temps qu’il faut à un attaquant pour vider un compte Microsoft 365 de ses jetons d’accès, sans jamais toucher au mot de passe ni buter sur l’authentification multifacteur. Deux techniques montent en puissance dans les campagnes de phishing : ConsentFix et ClickFix. Toutes deux exploitent la crédulité de l’utilisateur plutôt que la moindre faille logicielle, et c’est précisément ce qui les rend redoutables.
Points clés
- ClickFix piège l’utilisateur en lui faisant exécuter lui-même une commande malveillante via un faux message d’erreur.
- ConsentFix détourne le mécanisme OAuth pour voler les jetons d’accès Microsoft 365.
- Une fois le jeton dérobé, l’authentification multifacteur (MFA) devient inutile.
- La défense passe par le contrôle du consentement OAuth, la surveillance des applications et la formation des utilisateurs.
ClickFix : la fausse boîte de dialogue qui vous fait travailler pour l’attaquant
Le principe de ClickFix tient de l’ingénierie sociale la plus élégante et la plus cynique. La victime tombe sur une page qui affiche un message d’erreur crédible, du genre « vérification requise » ou « problème d’affichage », avec des instructions à suivre pour corriger le souci. Le piège consiste à faire copier-coller une commande dans un terminal ou dans la boîte Exécuter de Windows. En clair, on demande à la cible d’exécuter elle-même le code malveillant, ce qui contourne une bonne partie des protections côté navigateur.
Aucun exploit sophistiqué là-dedans, juste un utilisateur poli qui suit les consignes. La meilleure faille reste, encore et toujours, celle qui se trouve entre la chaise et le clavier.
ConsentFix : quand OAuth devient un cheval de Troie
ConsentFix vise directement les jetons d’accès Microsoft 365 en détournant le mécanisme d’autorisation OAuth. L’attaquant présente une demande de consentement à une application, déguisée en service légitime. Un clic sur « Accepter » et l’application malveillante récupère les autorisations demandées, donc les jetons qui vont avec.
Le résultat est brutal : l’authentification multifacteur (MFA) ne sert plus à rien. Le jeton OAuth prouve que l’utilisateur a déjà validé son identité, l’attaquant n’a plus besoin de se battre avec le second facteur. Il hérite d’un accès persistant au compte, e-mails et fichiers compris, tant que le jeton n’est pas révoqué.
Pourquoi la MFA ne suffit pas
On a longtemps vendu l’authentification multifacteur comme le rempart ultime. Ces deux techniques rappellent qu’elle protège l’ouverture de session, pas l’après. Une fois le jeton émis et détourné, le second facteur devient un souvenir. C’est tout le paradoxe des attaques par consentement : elles n’ont rien à casser, elles se contentent de demander poliment ce qu’on leur donne.
Comment se défendre
- Restreindre le consentement des utilisateurs aux applications OAuth et imposer une validation par un administrateur.
- Surveiller les octrois de consentement et les applications enregistrées dans le tenant, à la recherche de comportements anormaux.
- Former les utilisateurs à ne jamais copier-coller de commandes issues d’une page web, aussi crédible soit le message d’erreur.
- Mettre en place des politiques d’accès conditionnel et révoquer rapidement les jetons compromis.
La leçon est vieille comme le phishing : tant qu’un humain peut cliquer « Accepter », aucun rempart technique ne sera totalement étanche.
