Device code phishing : quand la double authentification ne suffit plus

Imaginez un instant que votre double authentification, ce rempart censé protéger vos comptes professionnels, soit contournée sans que vous ne vous en rendiez compte. C’est précisément ce que permet le device code phishing, une technique en pleine expansion qui exploite les mécanismes d’authentification des grandes plateformes américaines pour s’infiltrer dans vos comptes Microsoft 365 ou Google Workspace. Contrairement aux attaques classiques, celle-ci ne repose pas sur un faux site ou un email piégé : elle détourne un flux d’authentification légitime, rendant la détection presque impossible pour un utilisateur non averti.

Le principe est aussi simple que redoutable. L’attaquant envoie un lien vers une page officielle (comme login.microsoftonline.com) et incite la victime à s’y connecter. Une fois l’authentification validée, le code généré est récupéré par l’attaquant, qui peut alors s’en servir pour accéder au compte depuis son propre appareil, sans avoir besoin du mot de passe ou du second facteur. La victime, elle, ne voit qu’une page de connexion normale… et ne se doute de rien.

Pourquoi est-ce inquiétant ? Parce que cette méthode contourne les protections les plus robustes, y compris les clés de sécurité matérielles. Les entreprises sont particulièrement exposées, mais les particuliers utilisant des services cloud pour leur travail ou leurs données sensibles le sont tout autant. La CNIL a d’ailleurs émis des recommandations pour limiter les risques, comme la restriction des device codes aux seuls appareils de confiance ou l’utilisation de solutions d’authentification décentralisées, comme celles proposées par des acteurs européens.

Ce que vous pouvez faire :

• Si vous utilisez Microsoft 365 ou Google Workspace, vérifiez les sessions actives dans les paramètres de sécurité de votre compte. Toute session inconnue doit être immédiatement révoquée.
• Activez les notifications d’accès depuis de nouveaux appareils. Une alerte inattendue peut être le signe d’une compromission.
• Pour les organisations, envisagez des solutions de gestion des identités et des accès (IAM) européennes, comme celles proposées par des acteurs comme Sekoia.io ou Wallix, qui intègrent des mécanismes de détection des anomalies spécifiques à ces attaques.

La souveraineté numérique ne se limite pas aux outils que nous utilisons : elle passe aussi par la maîtrise des mécanismes qui protègent nos données. Face à des attaques toujours plus sophistiquées, la vigilance et les alternatives européennes restent nos meilleurs atouts.