Microsoft démantèle EvilTokens, un service de phishing par IA qui a compromis 12 000 comptes Microsoft

Le 22 septembre, Microsoft et ses partenaires (unité de lutte contre la cybercriminalité, forces de l’ordre) ont annoncé le démantèlement d’EvilTokens, un service de « phishing clé en main » loué à des escrocs, qui a compromis plus de 12 000 comptes Microsoft dans plus de 10 000 organisations, réparties dans 79 pays. Deux hommes ont été arrêtés au Royaume-Uni et une cinquantaine de sites liés au service ont été saisis. Le service utilisait l’IA sur deux plans : personnaliser automatiquement les messages piégés, et fouiller les boîtes mail compromises pour y repérer factures en attente, virements et échanges avec la direction, afin de générer de fausses demandes de paiement crédibles (la « fraude au virement »). Point technique important : l’attaque reposait sur le « device-code phishing », une méthode qui récupère un jeton de connexion valide et contourne ainsi l’authentification à deux facteurs, sans avoir à voler le mot de passe. Ce que cela change pour vous : si vos équipes utilisent Microsoft 365, la double authentification ne suffit plus à elle seule contre ce type d’attaque. Demandez à votre prestataire informatique de désactiver l’authentification par code d’appareil si vous ne l’utilisez pas, de surveiller les connexions inhabituelles, et de privilégier des clés de sécurité physiques (FIDO2) ; rappelez aussi à vos équipes qu’une demande de virement ou de changement de RIB, même bien rédigée et cohérente avec vos échanges récents, doit être vérifiée par un autre canal.