Les passkeys devaient enterrer le phishing. Un groupe suivi sous le nom d’UNC-066 a trouvé la parade : plutôt que de voler votre mot de passe, il vous demande poliment d’enrôler sa clé d’accès sur votre compte Microsoft 365. Effet garanti.
Points clés
- UNC-066 combine vishing (phishing vocal) et kit de phishing en temps réel pour cibler les comptes Microsoft 365.
- La victime est guidée pour enrôler une passkey contrôlée par l’attaquant sur son propre compte Entra.
- La clé d’accès, censée bloquer le phishing, devient ici le vecteur d’intrusion via manipulation humaine.
Un phishing qui passe par la voix
La combine commence par du vishing, c’est-à-dire du phishing par téléphone. L’attaquant contacte la victime, se fait passer pour un support technique et la guide, étape par étape, à travers une procédure qui ressemble à s’y méprendre à une opération de sécurité de routine.
En parallèle, un kit de phishing en temps réel fait le sale boulot. Il relaie les échanges avec les serveurs de Microsoft Entra, l’annuaire d’identité de l’écosystème Microsoft 365, pendant que la victime pense simplement renforcer la protection de son compte.
Le piège : enrôler une passkey qui n’est pas la vôtre
Le cœur de l’attaque tient dans un détail redoutable. Au lieu d’inscrire une clé d’accès appartenant à l’utilisateur, la procédure enregistre une passkey contrôlée par l’attaquant. Une fois cette clé rattachée au compte, le pirate dispose d’un accès légitime aux yeux du système, sans mot de passe à voler ni deuxième facteur à intercepter.
L’ironie est mordante : la passkey, présentée comme le remède au phishing, devient ici le vecteur de l’intrusion. Ce n’est pas la technologie qui flanche, c’est l’humain qu’on manipule pour qu’il ouvre lui-même la porte.
Ce qu’il faut retenir
Aucune technologie d’authentification ne résiste à un utilisateur convaincu de collaborer avec son propre agresseur. La vigilance reste de mise : un appel non sollicité qui vous presse d’ajouter une clé d’accès ou de valider une procédure d’enrôlement mérite un raccrochage immédiat et une vérification par un canal officiel.
