Fin juin 2026, une nouvelle campagne de phishing a visé des comptes Microsoft 365 sans chercher à voler le moindre mot de passe. Repérée par les chercheurs de ZeroBEC, elle s’appuie sur DEBULL, une brique réutilisable qui détourne le flux d’authentification Device Code de Microsoft pour contourner le MFA. Une méthode de plus en plus détournée par les pirates.

Une vraie page Microsoft, un faux consentement

Ici, pas de fausse page de connexion. C’est justement ce qui rend l’attaque redoutable et différente de ce que l’on peut rencontrer habituellement.

Le device code flow est un mécanisme légitime d’OAuth 2.0, conçu pour les appareils sans clavier ni navigateur, comme une télévision connectée ou une imprimante : un code court s’affiche, l’utilisateur le saisit depuis un autre appareil pour valider la connexion. Dans une attaque de type device code phishing, c’est l’attaquant qui génère ce code, avant de le transmettre à sa cible via un leurre. Lorsque la victime le saisit sur la véritable page d’authentification de Microsoft, elle autorise en réalité la session du pirate. Résultat : aucun mot de passe volé, le MFA contourné, et en cadeau : des jetons de session livrés à l’attaquant.

D’après les chercheurs de ZeroBEC, la campagne observée entre la dernière semaine de juin et le début du mois de juillet 2026 s’appuie sur des prétextes classiques, comme un dossier partagé à consulter. Dans le cadre de cette campagne, les pirates s’appuient sur le domaine d’un site web de location croate, légitime mais compromis. Il est utilisé pour déclencher la demande de code auprès de Microsoft.

“La campagne ne reposait pas sur une fausse page de mot de passe Microsoft. Elle utilisait un leurre malveillant, sur le thème de la collaboration, pour pousser les utilisateurs vers l’expérience de connexion légitime de Microsoft, pendant qu’un broker en arrière-plan générait et interrogeait des jetons device-code du Microsoft Authentication Broker.”, explique ZeroBEC dans son rapport.

Les chercheurs relèvent de fortes similitudes avec la campagne documentée par Microsoft en février 2025 sous le nom de Storm-2372. Des marqueurs en langue turque ont été repérés dans le code, mais bon, c’est trop peu pour attribuer la campagne à ce groupe de façon certaine.

Le device code phishing devient un produit sur étagère

Parlons maintenant de DEBULL et de la mécanique qui se dessine derrière. Selon ZeroBEC, il s’agirait d’une plateforme de Phishing-as-a-Service (PhaaS), s’appuyant sur GraphSpy ou un dérivé de cet outil pour la post-exploitation sur Microsoft 365 et Entra. Les opérateurs éditent directement le HTML, le CSS et le JavaScript de leur page piège, à partir de modèles fournis (page d’authentification device-code, page de rappel OAuth, page d’accueil).

DEBULL n’est pas un cas isolé. Cisco Talos a de son côté détaillé ARToken, un panneau d’administration PhaaS partageant infrastructure et API avec la plateforme EvilTokens. Talos évoque plus de 80 points de terminaison d’API couvrant le phishing par device code, la persistance via PRT, l’accès aux e-mails, les opérations de BEC et l’exfiltration depuis SharePoint, le tout piloté depuis un tableau de bord.

“Ces fonctionnalités indiquent que la plateforme est plus mature qu’un simple kit de phishing par device code. C’est un environnement complet d’opérations de BEC.”, souligne Michael Kelley, chercheur chez Cisco Talos.

Même le kit Tycoon 2FA, réapparu après une opération des forces de l’ordre, a adopté la technique. Si vous me lisez régulièrement, vous connaissez le schéma : en mai 2026, j’évoquais déjà le kit Kali365, qui pirate les comptes Microsoft 365 sans voler les mots de passe, au point d’avoir déclenché une alerte du FBI. Le device code n’est pas nouveau chez Microsoft, mais il est de plus en plus détourné par les pirates.

Ce que les administrateurs peuvent verrouiller

Depuis le 1er juillet 2026, les nouveaux tenants Entra bloquent le device code flow via les paramètres de sécurité par défaut (voir la note sur cette page). Une stratégie d’accès conditionnel gérée par Microsoft existe aussi, appliquée aux organisations n’ayant pas utilisé ce flux durant les 25 derniers jours. Mais un tenant plus ancien, ou dont la stratégie est restée en mode audit, reste exposé.

• Vérifier l’état réel de la stratégie pour bloquer le device code flow, plutôt que de la supposer active.
• Auditer les usages légitimes dans les journaux de connexion avant de généraliser le blocage (une salle de réunion, etc.).
• Exclure les comptes d’accès d’urgence, ainsi que les comptes de ressource des appareils Teams si besoin.
• Déployer un MFA résistant au phishing, à l’image des passkeys Entra sur Windows.

Dernier réflexe, côté réponse à incident : les jetons volés survivent au changement de mot de passe. Il faut révoquer les sessions et invalider les jetons. Lier chaque accès à un appareil de confiance, comme le propose la solution Specops Device Trust présentée récemment, limite aussi l’exploitation d’une session détournée.