La double authentification était censée être la ceinture de sécurité. Deux nouveaux kits de phishing viennent de prouver qu’on pouvait détacher la ceinture en roulant. Baptisés Jalisco et OmegaLord, ces outils circulent dans des campagnes visant les comptes Microsoft 365 avec un objectif clair : contourner l’authentification multifacteur (MFA). Ils s’ajoutent à une famille grandissante de kits de phishing-as-a-service capables de voler des identifiants, puis de détourner directement la session ou le jeton d’accès de la victime.
Les nouveaux kits de phishing ciblant Microsoft 365 automatisent les pages de connexion frauduleuses, la collecte des codes MFA et, dans certains cas, la capture d’une session valide une fois l’utilisateur authentifié. Autrement dit, l’attaquant ne vole plus seulement une clé : il attend que vous ouvriez la porte vous-même.
Points clés
- Deux nouveaux kits de phishing, Jalisco et OmegaLord, ciblent les comptes Microsoft 365 en contournant la MFA
- Les attaques capturent des sessions déjà authentifiées via des techniques AiTM, OAuth et détournement de jetons
- Les MFA par SMS ou app classique restent vulnérables ; les clés matérielles et passkeys sont recommandées
- Priorités défense : Conditional Access renforcé, surveillance des prompts MFA et formation contre le vishing
Deux kits de plus dans un écosystème déjà saturé
Jalisco et OmegaLord ont été repérés dans des attaques contre des comptes Microsoft 365. Leur argument commercial (car ces kits se vendent comme des logiciels) : passer outre la validation à deux facteurs. L’objectif ne se limite plus au vol du mot de passe. Les opérateurs cherchent à récupérer une session déjà authentifiée ou à réutiliser en temps réel les réponses MFA de la cible.
La technique n’a rien d’inédit. BleepingComputer a déjà documenté des campagnes de vishing visant l’inscription forcée d’une passkey Entra, avec un kit piloté par l’attaquant en direct. D’autres plateformes combinent proxys adversary-in-the-middle (AiTM), flux OAuth et détournement de jetons pour accéder à Outlook, SharePoint ou OneDrive sans jamais redemander de défi MFA.
Pourquoi la MFA ne joue plus les gardes du corps
Toutes les MFA ne se valent pas face au phishing, et c’est bien le problème. Les codes SMS, les applications d’authentification classiques et les validations poussées à l’écran restent interceptables si l’attaquant contrôle le scénario de connexion en temps réel. Pire : les criminels détournent des services parfaitement légitimes (Microsoft Entra, les flux de consentement OAuth, le code de périphérique) pour maquiller une connexion malveillante en action banale.
Le mode opératoire tient en une phrase : faire terminer à l’utilisateur lui-même l’étape d’authentification sur une page qui imite à s’y méprendre une vraie page Microsoft. Panels opérateur clés en main, pages clonées, lures assistées par IA, détournement de jetons de session. L’industrialisation est totale.
Ce qu’il faut surveiller côté défense
Pour les administrateurs Microsoft 365, le mot de passe compromis n’est plus le vrai sujet. Les priorités se resserrent autour de quelques réflexes :
- réduire l’exposition des méthodes MFA les plus vulnérables au phishing ;
- privilégier les méthodes résistantes au phishing, comme les clés de sécurité matérielles ou les passkeys correctement déployées ;
- surveiller les connexions anormales, les prompts MFA inhabituels et les tentatives de consentement OAuth ;
- durcir les politiques Conditional Access dans Microsoft Entra ID ;
- former le support et les utilisateurs aux demandes de validation en temps réel, notamment par téléphone.
Les campagnes visant Microsoft 365 se diversifient plus vite que les habitudes de vérification des utilisateurs. Jalisco et OmegaLord ne réinventent rien : ils perfectionnent une recette déjà éprouvée, celle qui transforme une authentification de routine en porte d’entrée grande ouverte.
