Des cybercriminels russes piègent des comptes Microsoft 365 depuis des mois : voici comment
🚨 Volexity : Des cyberattaques russes ciblent les comptes Microsoft 365 des organisations liées à l’Ukraine et aux droits de l’Homme
Une vague de cyberattaques orchestrée par des hackers russes
L’entreprise américaine Volexity, spécialisée en cybersécurité, a récemment révélé une vague de cyberattaques russes visant les comptes Microsoft 365. Les cybercriminels ciblent principalement les employés d’organisations travaillant en lien avec l'Ukraine et les droits de l’Homme.Les attaques commencent par une usurpation d’identité de responsables européens ou de diplomates ukrainiens. Les hackers se font passer pour ces figures influentes, puis contactent leurs victimes via des messageries instantanées comme WhatsApp ou Signal. Le message, souvent convaincant, inclut une invitation à rejoindre une conférence en ligne sur Microsoft Teams.
Une attaque de phishing sophistiquée via OAuth
Une fois la victime attirée dans le piège, elle est invitée à se connecter via une page d'authentification OAuth, un protocole utilisé par Microsoft 365 pour l’authentification. OAuth permet à des applications tierces d’accéder aux données d’un utilisateur sans avoir besoin de son mot de passe.Les attaquants envoient un fichier PDF contenant des instructions trompeuses et un lien malveillant. Ce lien redirige la victime vers une page d'authentification, où elle doit saisir un code d'autorisation OAuth. Les pirates expliquent que ce code est indispensable pour rejoindre la réunion Teams. En réalité, ce code permet à l’attaquant de générer un jeton d'accès valable pendant 60 jours, offrant un contrôle total sur les services Microsoft 365 de la victime (emails, fichiers, calendrier, Teams, etc.).
Accès total aux données sensibles
Ce jeton d'accès donne au pirate la possibilité de se faire passer pour la victime dans son environnement professionnel. Une fois connecté, l'attaquant peut accéder à une mine de données sensibles, notamment des emails, des documents confidentiels, ainsi que des informations sur le calendrier et les réunions à venir.
Une opération basée sur l’ingénierie sociale
Cette attaque repose sur l’ingénierie sociale : les attaquants exploitent la confiance des victimes pour les convaincre de cliquer sur des liens malveillants et de partager un code d'autorisation. Selon Volexity, ces attaques nécessitent une interaction directe avec la victime, ce qui rend leur détection plus difficile.« Ces attaques reposent largement sur l’interaction avec la victime : l'attaquant doit non seulement la convaincre de cliquer sur un lien, mais aussi de lui fournir un code généré par Microsoft », précise le rapport de Volexity.
Une campagne de phishing en cours
Les chercheurs de Volexity indiquent que cette campagne est en cours depuis mars 2025, avec des attaques similaires observées en avril 2025, cette fois menées par un autre groupe de cybercriminels russes. Des tentatives de piratage comparables ont également été détectées en février 2025, visant des comptes Microsoft 365 sensibles.
Conseils de prévention
Pour se protéger contre ce type d’attaque, les utilisateurs doivent être extrêmement vigilants lorsqu’ils reçoivent des invitations à des conférences en ligne, surtout si ces messages proviennent de contacts inconnus ou non sollicités. Il est essentiel de vérifier l'authenticité des liens et des demandes d’identification, et de ne jamais partager un code d’authentification sans être certain de la légitimité de la demande.
Source : Volexity