Depuis avril 2026, un groupe cybercriminel fait usage du vishing pour tenter de convaincre les utilisateurs d’enregistrer une nouvelle passkey Entra. Le prétexte est bien choisi : Microsoft pousse justement les entreprises à faire migrer leurs utilisateurs vers ce mode d’authentification. Sauf qu’au bout de la ligne, la passkey réellement enrôlée est celle de l’attaquant. Voici l’essentiel à savoir à propos de cette campagne.

Un kit de phishing piloté à la main, en temps réel

Cette activité malveillante est suivie par Okta sous le nom , un cluster que Palo Alto Networks Unit 42 identifie de son côté sous le nom de Pink. Selon Okta, la campagne cible des entreprises des secteurs de l’agroalimentaire, de la technologie, de la santé, de l’automobile, de la construction et de l’aéronautique. La motivation principale des attaquants est l’extorsion de données.

Oubliez le premier contact par e-mail, ici tout commence par un appel téléphonique. L’attaquant se fait passer pour le support informatique et explique à sa cible qu’elle doit enregistrer une nouvelle passkey “pour des raisons de sécurité”. L’utilisateur est alors dirigé vers un sous-domaine créé spécifiquement pour son organisation, sur des noms de domaine contenant le mot . Okta cite notamment : , , , et , hébergés chez DDoS-Guard (, Russie) et IQWeb FZ-LLC (, États-Unis).

La page imite le portail de connexion Entra ID et les éléments correspondants au style Microsoft sont chargés depuis le CDN de Microsoft. Pour que le piège semble encore plus réaliste, le logo et l’arrière-plan de l’entreprise ciblée sont intégrés également, mais c’est l’attaquant qui les met en place directement côté serveur.

La particularité de ce kit de phishing, c’est que les opérations sont pilotées en direct par un humain. “Ce kit n’est pas un proxy transparent de type « Adversary-in-the-Middle » (AitM), l’un des types de kits de phishing les plus courants, conçus pour collecter des identifiants, des jetons d’authentification multifactorielle (MFA) et des jetons de session. Il s’agit d’un panneau PHP contrôlé par un opérateur, dans lequel un acteur malveillant guide les victimes à travers différentes étapes d’authentification en temps quasi réel, à l’aide d’un mécanisme d’interrogation par « heartbeat » d’une seconde.”, peut-on lire dans le rapport d’Okta.

Ceci permet à l’attaquant d’adapter le processus tout au long de sa conversation avec la victime, notamment pour afficher la bonne méthode MFA attendue côté Microsoft :

• Défi TOTP : la victime est envoyée sur une page .
• Code par SMS : la victime atterrit sur .
• Notification push avec correspondance de numéros : la victime voit une page et saisit dans son application le chiffre dicté par l’opérateur.

Les identifiants et les réponses MFA sont relayés au panneau de contrôle du pirate (), ce dernier les rejoue en direct sur la véritable page de connexion Microsoft. Pendant ce temps, une page d’attente est présentée à l’utilisateur.

L’inscription de la passkey par le pirate

Une fois l’accès obtenu, l’attaquant peut enfin envisager d’enregistrer sa clé d’accès (passkey). Mais il doit encore garder la victime en ligne et l’occuper, le temps qu’il fasse des manips. La victime, quant à elle, se retrouve sur une nouvelle page aux couleurs de Microsoft qui l’invite à“sauvegarder sa clé de récupération”, ce qui va l’occuper quelques secondes.

“Sur la page /passkey, l’utilisateur ciblé est redirigé vers une page aux couleurs de Microsoft qui l’incite à « enregistrer sa clé de récupération » à partir d’une liste de phrases BIP-39 contrôlée par le pirate.” Ce format n’a normalement rien à voir avec le processus habituel côté Microsoft Entra.

Pendant ce temps, l’attaquant enregistre sa propre passkey. Si l’attaquant garde la victime en ligne jusqu’à la fin, c’est probablement pour cette raison : Microsoft envoie un e-mail de notification à chaque enregistrement d’une passkey. Sauf que la passkey enrôlée est celle de l’attaquant, et non celle de la victime (la sauvegarde de la clé de récupération est pleinement fictive). Okta indique que l’attaquant doit choisir le nom de la passkey, dont il peut s’inspirer de la phrase de récupération que la victime vient elle-même de sauvegarder. Ainsi, l’e-mail légitime va passer crème auprès de l’utilisateur puisqu’il croit que ça correspond à ce qu’il vient de faire.

Quand une bonne pratique devient un prétexte

Le choix de la passkey n’est pas un hasard. “À compter de mai 2026, les administrateurs Microsoft peuvent créer des campagnes d’inscription aux passkeys qui incitent les utilisateurs à s’enrôler lors de la connexion, et dans certaines circonstances, ces incitations sont activées par défaut.”, écrivent les chercheurs d’Okta. Autrement dit, un salarié à qui l’on demande d’enregistrer une passkey n’a aucune raison particulière de s’étonner. Il a peut-être déjà vu passer le message dans son navigateur, ou reçu une communication interne à ce sujet. Le mouvement de fond vers l’authentification résistante au phishing, que Microsoft accélère depuis l’activation des passkeys Entra pour la connexion à Windows, sert de couverture pour les attaquants.

C’est d’ailleurs paradoxal, cette histoire : les passkeys sont conçues pour résister au phishing, puisque la clé privée ne quitte jamais l’appareil et que l’authentification est liée à l’origine du site. Les attaquants ne s’attaquent donc pas à la passkey elle-même, mais au processus d’enrôlement, et au combo mot de passe + MFA classique qui protège l’accès à ce processus.

Les recommandations d’Okta tiennent en quelques points, valables au-delà de ses propres clients :

• Enrôler les utilisateurs avec des méthodes d’authentification résistantes au phishing pour le MFA (passkeys, cartes à puce), afin d’éliminer les codes par SMS et la partie TOTP. Ici, cela serait un vrai frein puisque l’attaquant ne pourrait pas se connecter au compte de la victime.
• Établir, communiquer et dérouler une procédure permettant de vérifier l’identité d’un interlocuteur du support lorsqu’il contacte un utilisateur.
• Bloquer les demandes provenant de zones géographiques où l’organisation n’opère pas (filtrage par pays, ASN ou IP).
• Restreindre l’accès aux applications sensibles aux appareils gérés et protégés par un outil de sécurité sur l’endpoint.
• Notifier les utilisateurs de chaque événement du cycle de vie de leurs méthodes d’authentification, ajout de passkey compris.

Le vishing (hameçonnage par téléphone) est une véritable menace pour les entreprises. Il y a quelques jours, j’évoquais les faux appels du support IT sur Teams utilisés pour déployer le malware EtherRAT.