L’essentiel
La Digital Crimes Unit de Microsoft a démantelé EvilTokens, un service par abonnement qui réunissait prise de contrôle de comptes, analyse des boîtes mail par l’IA et outils de fraude aux paiements dans un seul produit. Il est lié à plus de 12 000 boîtes mail compromises dans plus de 10 000 organisations. L’opération, appuyée par une décision de justice du district Est de Virginie, a permis de saisir 50 sites et plus de 150 domaines de soutien ; la police britannique a arrêté deux suspects. Le détail le plus important pour les défenseurs, c’est la méthode : un phishing par code d’appareil qui contournait l’authentification multifacteur, puis un chatbot IA qui transformait chaque boîte volée en attaques de compromission de messagerie (BEC, fraude au président) prêtes à l’emploi.
La leçon n’est pas « le phishing revient ». C’est que l’IA a fait s’effondrer le niveau de compétence et le temps nécessaires pour mener une fraude BEC. Repérage, choix des cibles et usurpation d’identité, les étapes qui exigeaient autrefois un humain patient, sont désormais automatisés. Si votre dispositif d’identité repose encore sur mot de passe + MFA et considère les e-mails comme fiables dès qu’un utilisateur est connecté, c’est exactement la campagne qui passe au travers.
Ce que Microsoft a annoncé, et pourquoi c’est important
Selon Microsoft, sa Digital Crimes Unit a saisi, sur ordonnance de l’U.S. District Court for the Eastern District of Virginia, 50 sites web servant à exploiter EvilTokens et, avec des partenaires du secteur et des forces de l’ordre, fait tomber plus de 150 domaines supplémentaires liés à l’infrastructure de la plateforme. Microsoft suit l’opération sous le nom Storm-2992 et la relie à plus de 12 000 boîtes mail compromises dans plus de 10 000 organisations. La Metropolitan Police de Londres a arrêté deux hommes de 32 et 38 ans le 11 septembre dans le cadre de l’enquête sur ce service.
Ce qui distingue EvilTokens, c’est qu’il s’agissait d’un produit et non d’une campagne ponctuelle. Lancé en février 2026 et vendu sur Telegram 1 500 $ de frais d’installation plus 500 $ par mois, il regroupait prise de contrôle de comptes, analyse IA des boîtes mail et outils de fraude dans un abonnement unique : la même banalisation qui a fait du rançongiciel un « ransomware-as-a-service ». Les enquêteurs ont retracé environ 1,1 M$ de revenus en cryptomonnaies, et Microsoft indique que l’opération a été coordonnée avec Health-ISAC, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, la Shadowserver Foundation et TRM Labs.
La répartition des victimes est un avertissement pour les ETI et les PME en particulier. Selon Microsoft, les victimes se concentraient aux États-Unis, au Canada, au Royaume-Uni, en Australie, en Inde et en France, dans des secteurs allant de la distribution et du BTP aux services financiers et à la santé. Ce sont précisément les organisations qui font transiter de l’argent réel par e-mail (factures, ordres de virement, bons de commande) sans toujours disposer d’une équipe dédiée à l’identité ou à la lutte contre la fraude de niveau FinTech. C’est ce manque qu’EvilTokens était conçu pour monétiser.
Comment le phishing par code d’appareil déjoue la MFA
La technique au cœur d’EvilTokens détourne le flux d’autorisation d’appareil OAuth 2.0, le mécanisme légitime qui permet de connecter une télévision connectée ou un outil en ligne de commande à son compte en tapant un code court sur son téléphone. Un leurre de phishing (une facture, un appel d’offres, un fichier partagé) conduit la cible vers une page qui, en arrière-plan, demande au fournisseur d’identité de Microsoft un code d’appareil valide. La victime est invitée à saisir ce code sur la vraie page microsoft.com/devicelogin et à se connecter normalement, MFA comprise.
C’est là que se referme le piège : comme le code appartient à la session de l’attaquant, le fournisseur d’identité délivre les jetons d’accès et d’actualisation à l’attaquant, pas à la victime. L’utilisateur a tout fait correctement (vrai site, vraie demande MFA) et a pourtant livré une session authentifiée. La MFA classique n’y peut rien, puisque la vérification était authentique : elle a simplement autorisé le mauvais client. Pire, le jeton d’actualisation volé continue de donner accès même après un changement de mot de passe, tant que la session ou le jeton n’ont pas été explicitement révoqués.
L’IA s’occupe du reste. Microsoft décrit un chatbot IA qui, une fois dans une boîte mail, repérait les contacts de la direction financière et de la direction générale, faisait remonter les échanges sur les virements et les factures en attente, et rédigeait des messages au nom de contacts de confiance pour détourner les paiements. Le travail de repérage et de rédaction qu’un fraudeur BEC expérimenté faisait à la main (comprendre l’organigramme, imiter le ton, choisir le bon moment pour la demande) est désormais généré à la demande. Voilà ce que « dopé à l’IA » veut dire ici : pas un logiciel malveillant plus intelligent, mais une ingénierie sociale industrialisée.
Ce que cela signifie pour les équipes logicielles aux États-Unis et dans l’UE
Premier changement : la MFA ne peut plus être la ligne d’arrivée de votre stratégie d’identité. Le phishing par code d’appareil ou par consentement vole des jetons après une vérification MFA légitime ; les contrôles qui comptent se situent donc autour du jeton : le flux par code d’appareil est-il seulement autorisé, combien de temps vivent les sessions, à quelle vitesse pouvez-vous révoquer. Si vous développez ou exploitez des logiciels pour d’autres, c’est aussi une question produit : les mêmes choix d’identité sécurisés par défaut doivent figurer dans le logiciel sur mesure que vous livrez, et pas seulement dans votre propre tenant d’entreprise.
Deuxième changement : l’intégrité des paiements comme contrôle technique, et non comme PDF de procédure. La fraude BEC réussit au moment où un humain fait assez confiance à un e-mail pour modifier des coordonnées bancaires ou libérer un virement. Dans les secteurs réglementés (FinTech, HealthTech, tout ce qui touche au RGPD, à SOC 2 ou à l’AI Act européen), cette confiance doit s’appuyer sur une vérification par un canal distinct, une double validation des changements de paiement et une piste d’audit. Un processus qui permet à un seul e-mail convaincant de détourner de l’argent est un défaut de conception, aussi bonne que soit votre formation.
Troisième changement : une détection pensée pour l’identité, pas seulement pour les postes de travail. Les signaux qui trahissent cette classe d’attaques sont l’émission anormale de jetons, les connexions depuis des clients inattendus, les déplacements impossibles et les nouvelles règles de boîte mail qui masquent les réponses. Ces signaux se trouvent dans vos journaux d’identité et de messagerie, et ils restent du bruit sans travail d’ingénierie. Mettre en place cette supervision et répéter la révocation fait partie du travail que nous intégrons au durcissement cloud et DevOps, pour qu’un jeton volé déclenche une alerte en quelques minutes et non un rapport d’analyse forensique des semaines plus tard.
Ce qu’EvilTokens change pour les entreprises françaises
La France figure explicitement parmi les pays où Microsoft a concentré les victimes, et le scénario parle aux directions financières françaises : c’est la fraude au président et la fraude aux faux ordres de virement (FOVI), mais menée depuis la vraie boîte mail d’un fournisseur ou d’un collègue, ce qui neutralise les réflexes habituels comme vérifier l’adresse de l’expéditeur. Pour toute demande de changement de RIB, imposez un rappel téléphonique sur un numéro déjà connu, jamais sur celui indiqué dans l’e-mail.
Côté conformité, une boîte mail compromise constitue presque toujours une violation de données personnelles : l’article 33 du RGPD impose en règle générale de la notifier à la CNIL dans les 72 heures. En cas d’incident, la plateforme publique cybermalveillance.gouv.fr oriente les PME et les collectivités vers des prestataires et propose des fiches réflexes. Enfin, la directive NIS2 étend les obligations de gestion des risques à de nombreuses entreprises de taille intermédiaire : désactiver le flux par code d’appareil là où il n’est pas utile et généraliser les facteurs résistants au phishing pour les comptes financiers et administrateurs sont des mesures simples à documenter face à un auditeur.
Que faire dès maintenant
- Verrouiller le flux par code d’appareil. Bloquez-le ou restreignez-le par accès conditionnel ; ne l’autorisez que pour les appareils ou applications qui en ont vraiment besoin. Pour la plupart des utilisateurs, il peut être entièrement désactivé.
- Passer à une authentification résistante au phishing. Les passkeys et FIDO2 neutralisent toute la catégorie des attaques qui piègent l’utilisateur avec une demande MFA. Commencez par les comptes de la finance, de la direction et des administrateurs.
- Raccourcir et révoquer. Réduisez la durée de vie des jetons, activez l’évaluation continue de l’accès (Continuous Access Evaluation) lorsqu’elle est disponible, et faites de la révocation des jetons et des sessions une procédure en un clic, pas un ticket.
- Vérifier les paiements par un autre canal. Exigez un second canal et une double validation pour toute modification de coordonnées bancaires ou d’ordre de virement. Considérez par défaut les demandes reçues uniquement par e-mail comme non vérifiées.
- Tester l’attaque réelle. Menez des audits de sécurité et des simulations de phishing qui couvrent les flux par code d’appareil et par consentement, pas seulement le clic sur un lien, et surveillez les journaux d’identité pour repérer les émissions de jetons anormales.
Questions fréquentes
Qu’est-ce qu’EvilTokens et qu’a fait Microsoft le 22 septembre 2026 ?
EvilTokens était une plateforme de phishing-as-a-service dopée à l’IA, suivie par Microsoft sous le nom Storm-2992, qui réunissait prise de contrôle de comptes, analyse IA des boîtes mail et outils de fraude dans un seul abonnement. Le 22 septembre 2026, la Digital Crimes Unit de Microsoft, sur ordonnance de l’U.S. District Court for the Eastern District of Virginia, a saisi 50 sites web et, avec ses partenaires, fait tomber plus de 150 autres domaines. La plateforme est liée à plus de 12 000 boîtes mail compromises dans plus de 10 000 organisations.
Comment EvilTokens contournait-il l’authentification multifacteur ?
Le service détournait le flux d’autorisation d’appareil OAuth 2.0 (code d’appareil). Un leurre de phishing amenait la victime à saisir un code d’appareil valide sur la vraie page microsoft.com/devicelogin. Lorsque la victime terminait sa propre connexion, MFA comprise, le fournisseur d’identité délivrait les jetons d’accès et d’actualisation au client de l’attaquant. La vérification MFA étant authentique, la MFA classique n’empêchait pas le vol, et le jeton d’actualisation volé pouvait donner accès jusqu’à la révocation de la session ou du jeton.
Que faisait concrètement le composant IA ?
Une fois une boîte mail compromise, un chatbot IA en analysait le contenu pour repérer les contacts de la finance et de la direction, faire remonter les échanges sur les virements et les factures en attente, et rédiger des messages au nom de contacts de confiance afin de détourner les paiements. Il automatisait ainsi les étapes de repérage et d’ingénierie sociale de la compromission de messagerie (BEC), qui exigeaient auparavant un opérateur humain expérimenté.
Qui a été touché et combien cela a-t-il coûté aux victimes ?
Selon Microsoft, les victimes se concentraient aux États-Unis, au Canada, au Royaume-Uni, en Australie, en Inde et en France, dans des secteurs allant de la distribution et du BTP aux services financiers et à la santé. Les enquêteurs ont retracé environ 1,1 M$ de revenus en cryptomonnaies liés à l’opération, et la police britannique a arrêté deux hommes de 32 et 38 ans le 11 septembre 2026.
Que doivent faire les équipes aux États-Unis et dans l’UE contre le phishing par code d’appareil ?
Bloquez ou restreignez strictement le flux par code d’appareil par accès conditionnel, passez à une authentification résistante au phishing comme les passkeys ou FIDO2, raccourcissez la durée de vie des jetons et permettez une révocation rapide, et surveillez les émissions de jetons anormales et les connexions aux déplacements impossibles. Pour les paiements, exigez une vérification par un canal distinct de tout changement de coordonnées bancaires, et menez des audits de sécurité et des simulations de phishing qui couvrent spécifiquement les attaques par code d’appareil et par consentement.
Sources
Microsoft On the Issues — Disrupting EvilTokens: The AI Chatbot Built for Cybercrime (communiqué de l’entreprise)
The Hacker News — Microsoft Takes Down EvilTokens Device-Code Phishing Service
Help Net Security — Microsoft disrupts EvilTokens phishing service that gave criminals access to 12,000 inboxes
Aller plus loin
Salle de presse
Toutes les actualités IT & ingénierie →
Guides d'ingénierie approfondis →