EvilTokens est une plateforme de phishing-as-a-service (PhaaS) qui détourne le flux d’authentification par code d’appareil de Microsoft : la victime s’authentifie sur la vraie page Microsoft, avec son vrai MFA, et remet ainsi ses jetons à l’attaquant. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire type, correspondance avec MITRE ATT&CK, signaux de détection, questions d’audit ISO 27001 et pistes de sensibilisation. Les sources décrivent un service criminel utilisé contre des milliers de victimes, pas une intrusion unique : aucune victime n’est nommée, et nous n’avons pas pu consulter directement le rapport technique de Microsoft (blog sécurité du 22 septembre). Les éléments sont repris des articles de The Hacker News et BleepingComputer qui le citent.
Pour une lecture orientée dirigeant, voir notre décryptage « EvilTokens : la double authentification était activée, le pirate est quand même entré ».
Contexte
- Nom : EvilTokens, plateforme de phishing-as-a-service. Ses opérateurs sont suivis par Microsoft sous le nom Storm-2992 (The Hacker News).
- Période d’activité : vendu sur Telegram depuis mi-février 2026 selon Sekoia ; premières captures de données datées du 18 février 2026 selon SpyCloud (The Hacker News).
- Ampleur : plus de 12 000 boîtes mail compromises dans plus de 10 000 organisations (Microsoft) ; 8 708 comptes uniques sur 6 585 domaines d’entreprise dans 79 pays (données récupérées par SpyCloud) ; environ 97,5 % de comptes professionnels (BleepingComputer).
- Géographie : Microsoft cite les États-Unis, le Canada, le Royaume-Uni, l’Australie, l’Inde et la France ; SpyCloud cite les États-Unis, le Canada, l’Australie, le Royaume-Uni et l’Arabie saoudite. Les deux classements diffèrent, car les jeux de données ne sont pas les mêmes.
- Secteurs : négoce et distribution, BTP, services financiers, immobilier, enseignement supérieur, santé.
- Revenus : environ 1,1 million de dollars tracés par Coinbase entre octobre 2025 et juin 2026 (The Hacker News).
- Action du 22 septembre : saisie de 50 sites et neutralisation de plus de 150 domaines, sur autorisation d’un tribunal fédéral américain (district Est de Virginie), avec Health-ISAC, Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, Shadowserver et TRM Labs. Deux hommes (32 et 38 ans) ont été arrêtés à Londres par la Metropolitan Police le 11 septembre, puis libérés sous caution (The Hacker News ; BleepingComputer).
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Préparation de l’infrastructure | Chaînes de redirection hébergées sur des plateformes « serverless » réputées (Vercel, Cloudflare Workers, AWS Lambda) et sur des sites compromis, pour se fondre dans le trafic cloud légitime et échapper aux listes de blocage. | T1583.007 Acquire Infrastructure: Serverless |
| Leurre | E-mail sur l’un des 44 thèmes proposés (facture, appel d’offres, fichier partagé, signature électronique, messagerie vocale, expiration de mot de passe…), avec un lien, un PDF ou une pièce jointe HTML. Un faux CAPTCHA gêne l’analyse automatique. | T1566.002 Spearphishing Link, T1566.001 Spearphishing Attachment |
| Génération du code en temps réel | La page de phishing demande à Microsoft un code d’appareil « frais », puis l’affiche avec un bouton « Copier » et un bouton « Continuer avec Microsoft ». | – |
| Authentification par la victime | La victime colle le code sur la vraie page Microsoft de connexion d’appareil, puis saisit identifiants et MFA si elle n’a pas de session active. Les jetons (access token et refresh token) sont délivrés au client de l’attaquant. | T1528 Steal Application Access Token, puis T1550.001 Application Access Token |
| Persistance | Enregistrement de nouveaux appareils ; règles de boîte mail malveillantes pour masquer les échanges. | T1098.005 Device Registration, T1564.008 Email Hiding Rules |
| Exploitation | Lecture de la messagerie, cartographie de l’organisation via Microsoft Graph, analyse du contenu par IA (plus de vingt langues selon SpyCloud) pour repérer virements, factures et décideurs financiers ; rédaction automatique de messages de fraude au président ou au fournisseur (BEC). | T1114.002 Remote Email Collection, T1087.004 Cloud Account, T1534 Internal Spearphishing, T1656 Impersonation |
La colonne MITRE est une lecture de notre part, à partir des éléments publiés. Les sources ne fournissent pas cette correspondance.
Ce qu’on ne sait pas
Les sources ne détaillent pas comment les victimes, prises une à une, ont repéré la compromission. Aucune victime n’est nommée publiquement. Nous ne spéculons pas sur ces points.
Détection : pourquoi c’est difficile à voir
- Côté écosystème : la détection est venue d’un travail de renseignement collectif : Huntress dès mars, Sekoia, Microsoft DCU, traçage des paiements par Coinbase et TRM Labs, données récupérées par SpyCloud.
- Côté victime : la connexion se fait sur la vraie page Microsoft, avec le vrai MFA. Pas de mot de passe volé, pas de faux domaine sur la page d’authentification. Les redirections passent par des services cloud légitimes.
- Signaux exploitables (déduits du mode opératoire décrit, à adapter à chaque environnement) : connexions par le flux « device code » pour des utilisateurs qui n’en ont pas l’usage, nouveaux appareils enregistrés hors processus, création de règles de boîte mail (suppression, déplacement, redirection), accès Graph inhabituels. BleepingComputer recommande de surveiller les connexions suspectes et de bloquer le flux device code quand il n’est pas nécessaire (BleepingComputer).
Questions d’audit ISO 27001:2022
- A.8.5 et A.5.15 (authentification sécurisée, contrôle d’accès) : « Les flux d’authentification OAuth non nécessaires, notamment le device code flow, sont-ils bloqués par une politique d’accès conditionnel ? Montrez-moi la règle et la liste des exceptions justifiées. »
- A.5.26 (réponse aux incidents) : « Votre procédure de traitement d’une compromission de compte cloud prévoit-elle la révocation des sessions et des jetons, la revue des appareils enregistrés et des règles de boîte mail, et pas seulement le changement de mot de passe ? Montrez-moi le dernier cas traité. »
- A.8.16 (activités de surveillance) : « Quels cas d’usage de détection couvrent les connexions par code d’appareil, la création de règles de boîte mail et l’enregistrement de nouveaux appareils ? Qui reçoit l’alerte, et sous quel délai ? »
- A.5.17 et A.8.5 (informations d’authentification) : « Quelle est votre feuille de route vers une authentification résistante au phishing (FIDO2, passkeys) pour les populations à risque (finance, direction, achats) ? » À noter : Microsoft a rappelé le 21 septembre aux administrateurs Entra ID de migrer vers ces méthodes avant le retrait de la connexion par SMS en premier facteur, à partir de février 2027 (BleepingComputer).
Pistes de sensibilisation
Ces pistes relèvent de la mesure A.6.3 (sensibilisation, enseignement et formation).
- Module « Ne collez jamais un code reçu par message » : on ne colle jamais un code reçu par e-mail ou par message sur une page de connexion, même si la page est la vraie. Le message est contre-intuitif : les formations apprennent souvent à « vérifier que l’adresse est légitime », ce qui ne protège pas ici.
- Pour les équipes finance et achats : simulation de fraude au virement où le faux e-mail vient d’une vraie boîte mail, compromise, d’un fournisseur ou d’un collègue. Insister sur la double validation hors canal (rappel à un numéro de téléphone connu).
À lire aussi : notre décryptage pour les dirigeants, « EvilTokens : la double authentification était activée, le pirate est quand même entré », et le bulletin de veille du 23 septembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.