Un serveur d’attaque laissé grand ouvert, trois campagnes de phishing en cascade, et un même butin : la session Microsoft 365 de la victime, mot de passe et MFA compris. C’est le point de départ des travaux attribués à Lexfo et relayés par The Hacker News, après la découverte d’une infrastructure d’attaque mal configurée. À partir de ce serveur bavard, les chercheurs disent avoir relié trois opérations distinctes, toutes bâties sur Evilginx et sur l’abus du device code flow de Microsoft pour capturer des jetons de session.
Points clés
- Un serveur d’attaque mal configuré a permis à Lexfo de relier trois campagnes de phishing Microsoft 365
- Les attaques combinent Evilginx (adversary-in-the-middle) et l’abus du device code flow OAuth 2.0
- L’objectif n’est pas le mot de passe mais le jeton de session, capturé après validation MFA
- Les leurres s’appuient sur des pages Microsoft authentiques, rendant l’attaque difficile à repérer
Un serveur laissé ouvert comme porte d’entrée
Le serveur exposé n’était pas une page de leurre mais une pièce d’infrastructure d’attaque. Une fois analysé, il a permis d’identifier plusieurs chaînes de compromission visant des comptes Microsoft 365. Evilginx désigne une famille d’outils de type adversary-in-the-middle : l’attaquant se glisse entre la victime et le vrai service de connexion pour intercepter la session une fois l’authentification passée.
Le second levier repose sur l’abus du flux d’authentification par code de dispositif, le device code phishing. La victime valide un code sur une page Microsoft parfaitement légitime. Elle croit finaliser une connexion, l’attaquant récupère de quoi entrer dans la boîte mail, Teams ou les autres services du tenant. Le hic : la page est authentique, donc rien ne clignote en rouge.
L’affaire s’inscrit dans une vague d’alertes sur le même terrain. Le 7 juillet 2026, The Hacker News rapportait déjà une campagne de device-code phishing sur Microsoft 365 observée entre fin juin et début juillet, avec des leurres estampillés collaboration d’entreprise. La même période a vu circuler d’autres analyses sur des kits de phishing industrialisés autour des identités cloud.
Evilginx et device code : deux voies, un seul butin
Les deux techniques ne visent pas le même maillon mais convergent vers le même résultat : une session authentifiée. Evilginx cible la session en transit après saisie des identifiants et validation MFA. Le device code phishing détourne un mécanisme OAuth 2.0 prévu pour les appareils à interface limitée, une TV ou un terminal embarqué. Dans les deux cas, l’attaquant se moque du mot de passe : il veut le jeton qui ouvre la porte.
Plusieurs analyses de juillet 2026 décrivent des campagnes appuyées sur des pages Microsoft authentiques, des leurres orientés entreprise et des infrastructures recyclées d’une opération à l’autre. Le résultat est monotone : accès au courrier, aux documents et aux outils collaboratifs, puis rebond vers des fraudes par email ou de la persistance discrète.
Pour les administrateurs Microsoft 365, le nerf de la guerre reste le verrouillage de ces flux d’authentification et la traque des sessions atypiques. La leçon de ces derniers jours tient en une phrase : une page de connexion légitime ne garantit pas une authentification légitime, surtout quand l’attaque vise la session et non le mot de passe.
