Un faux enrôlement de passkey donne à un attaquant un accès durable au compte Microsoft 365 d’un salarié, avec l’aide de la victime. Depuis avril 2026, un groupe suivi par les équipes de renseignement sur les menaces d’Okta sous le nom O-UNC-066, lié au site d’extorsion Pink, détourne ainsi l’enrôlement des passkeys dans Microsoft Entra. Le scénario n’exploite aucune faille technique. Il repose sur la méconnaissance des utilisateurs.
Un appel du faux support, puis une page sur mesure
L’attaquant appelle la victime. Il se présente comme le support informatique et explique qu’il faut enregistrer un nouveau passkey « pour des raisons de sécurité ». En effet, le prétexte tient la route : depuis mai 2026, les administrateurs Microsoft peuvent activer des campagnes de rappel qui invitent les utilisateurs à s’inscrire aux passkeys lors de la connexion, et ces campagnes sont parfois actives par défaut.
L’attaquant dirige ensuite la victime vers un sous-domaine créé pour son organisation.
Le groupe a enregistré ses noms de domaine, comme setpasskey ou deploypasskey, entre avril et juin 2026, et tous contiennent le mot passkey. La page reprend le logo et l’arrière-plan de l’employeur, préparés à l’avance par l’attaquant. Quant à l’habillage générique de Microsoft, la page le charge depuis le réseau de diffusion officiel. Rien ne détonne donc à l’écran.
Un opérateur pilote l’enrôlement de passkey en direct
Le kit ne se contente pas de relayer automatiquement les saisies. Un opérateur le pilote en temps réel depuis un panneau de contrôle qui interroge la page chaque seconde. Ainsi, la victime saisit d’abord son identifiant, puis son mot de passe. L’opérateur les reçoit aussitôt et se connecte au vrai portail Microsoft.
Pendant ce temps, une page d’attente occupe la victime. L’attaquant observe le défi d’authentification déclenché par Microsoft et affiche la page correspondante : code par SMS, code temporaire ou validation par notification avec correspondance de nombres.
Vient alors le tour de passe-passe. La fausse page demande à la victime de noter une « clé de récupération » composée de mots tirés d’une liste BIP-39, un mécanisme emprunté aux portefeuilles de cryptomonnaies et sans aucun rapport avec Entra. Pendant qu’elle recopie ces mots, l’attaquant enregistre son propre passkey dans le compte. Enfin, une page de confirmation clôt la manœuvre.
L’utilisateur croit avoir sécurisé son accès. En réalité, il vient d’en offrir un second à un tiers.
Exfiltration et extorsion : la violation de données est constituée
Le groupe vise l’extorsion. Selon l’unité Unit 42 de Palo Alto Networks, citée par BleepingComputer, les attaquants exfiltrent rapidement les données de SharePoint et de OneDrive après la prise de contrôle. Ils publient ensuite des échantillons sur le site d’extorsion Pink pour faire pression sur les victimes. Les secteurs touchés vont de l’agroalimentaire à l’aviation, en passant par la technologie, la santé, l’automobile et la construction.
Par conséquent, un tel épisode constitue une violation de données personnelles. Dès qu’il présente un risque pour les droits des personnes, l’article 33 du RGPD impose de le notifier à la Commission nationale de l’informatique et des libertés (CNIL) sous 72 heures. Quand le risque est élevé, situation fréquente en cas d’exfiltration de documents internes, l’article 34 impose aussi d’informer les personnes concernées. Pour ne pas perdre de temps au moment de déclarer, relisez notre article sur le point de départ du délai de 72 heures.
L’article 32 fixe enfin le niveau de sécurité attendu. Or une authentification à plusieurs facteurs ne protège plus rien si un opérateur la relaie en direct, comme le montrait déjà notre analyse du vol de comptes Microsoft 365 malgré le MFA. Pour les entités couvertes par la directive NIS2, une alerte précoce sous 24 heures s’ajoute à la notification à la CNIL.
Bloquer le faux enrôlement de passkey dans votre organisation
Commencez par la procédure. Écrivez noir sur blanc comment un salarié vérifie l’identité du support informatique, et diffusez-la. Précisez par exemple qu’aucun technicien ne guide un salarié par téléphone vers une page de connexion.
Côté technique, passez à des authentificateurs résistants à l’hameçonnage et interdisez par politique les facteurs qui se relaient. Activez aussi une notification à l’utilisateur pour chaque ajout ou modification d’un moyen d’authentification, puis faites remonter ces événements à l’équipe sécurité. De plus, limitez l’enregistrement d’un nouveau facteur aux appareils gérés et aux réseaux connus.
Formez enfin les équipes au déroulé réel d’un enrôlement de passkey. En pratique, il passe par une boîte de dialogue du système d’exploitation, jamais par une liste de mots à recopier. Une plateforme de sensibilisation comme Focus RGPD, que DPO PARTAGE a conçue, sert de support à ce rappel.
Sources
Okta a documenté la campagne dans Vishing actors target Entra passkey enrollment, publié par son équipe Threat Intelligence.
BleepingComputer rapporte les constats d’Unit 42 dans Entra passkey enrollment vishing targets Microsoft 365 users.
