Fin avril 2026, les chercheurs de la société française Lexfo ont repéré un serveur mal configuré, laissé accessible en ligne avec l’affichage de son contenu activé. Sur cette machine hébergée à Budapest se trouvait la boîte à outils complète d’un opérateur de phishing en pleine activité : configurations d’attaque, journaux de vol d’identifiants, logiciels d’accès à distance et fichiers de session. En remontant les traces, Lexfo a identifié trois campagnes distinctes de vol de comptes Microsoft 365 visant les entreprises. Pour les organisations françaises, l’affaire illustre une réalité inconfortable : la double authentification, souvent présentée comme la parade absolue, se contourne désormais sans difficulté.
Trois opérateurs, une même cible : vos boîtes mail professionnelles
Les trois acteurs identifiés utilisaient des versions modifiées d’Evilginx, un outil libre de type « adversary in the middle ». Le principe consiste à intercaler un serveur pirate entre la victime et la vraie page de connexion Microsoft. La victime saisit son mot de passe et valide sa double authentification sur une page qui semble légitime, mais l’attaquant capture au passage le cookie de session. Une seconde technique, l’abus du « Device Code Flow », pousse la cible à saisir un code réel sur le site officiel microsoft.com/devicelogin, après quoi le jeton d’accès est détourné. Dans les deux cas, le second facteur d’authentification est entièrement contourné.
Un an d’accès invisible et des données françaises exposées
L’une des campagnes est restée active plus d’un an sans être détectée, avec 218 victimes confirmées dans douze pays, dont 94 % de comptes d’entreprise. Plusieurs organisations françaises figurent parmi les cibles, dans les services aux entreprises, la construction et le secteur social. Un cookie Microsoft 365 volé restait exploitable jusqu’en juin 2027 : une fois la session captée, elle survit même au changement de mot de passe. Concrètement, un attaquant peut lire les courriels, exfiltrer les pièces jointes et rebondir vers d’autres comptes, le tout à l’insu de l’utilisateur. Ces messageries compromises regorgent de données personnelles : coordonnées de clients, échanges avec les salariés, documents contractuels.
Ce que le RGPD impose face à ce type d’attaque
La compromission d’une boîte mail professionnelle constitue une violation de données à caractère personnel. L’article 32 du RGPD impose des mesures de sécurité adaptées au risque, ce qui inclut aujourd’hui une authentification résistante au phishing. En cas d’incident, l’article 33 oblige à notifier la CNIL dans les 72 heures, et l’article 34 impose d’informer les personnes concernées lorsque le risque est élevé, ce qui correspond à un accès prolongé à une messagerie. Les entités couvertes par la directive NIS2 doivent en outre renforcer leur gestion des risques et leurs obligations de signalement des incidents.
Conseils pratiques pour limiter le risque
Privilégiez une authentification résistante au phishing, comme les clés physiques FIDO2, plutôt qu’un simple code reçu par SMS ou application. Activez l’évaluation continue des accès (Continuous Access Evaluation) afin d’invalider une session dès qu’un changement suspect survient. Désactivez le « Device Code Flow » au moyen de règles d’accès conditionnel lorsqu’il n’est pas nécessaire. Surveillez les connexions issues d’adresses inhabituelles et les autorisations d’application accordées sans motif clair. Sensibilisez enfin vos collaborateurs : une page qui réclame un code d’authentification dans l’urgence doit toujours éveiller la méfiance. La barrière technique de ces attaques est tombée, la vigilance reste votre meilleure défense.
Source : Lexfo CTI team, « One Misconfigured Server, Three Active Campaigns: Full exposure of three AiTM Phishing Operators », 13 juillet 2026.
