Microsoft a annoncé le 22 septembre 2026 la mise hors ligne d’EvilTokens, un service de phishing vendu « clé en main » et lié à plus de 12 000 boîtes mail piratées. Sa particularité : il ne vole aucun mot de passe. C’est la victime elle-même qui autorise l’accès du pirate, sur la vraie page de Microsoft.
Ce qui s’est passé
EvilTokens était un service de phishing loué à d’autres criminels (on parle de « phishing-as-a-service ») : 1 500 dollars l’accès au kit, puis 500 dollars par mois, selon les sources citées par la presse. Il aurait été vendu sur Telegram depuis février 2026 (The Hacker News, 22 septembre 2026).
Selon Microsoft, il a servi à compromettre plus de 12 000 boîtes mail dans plus de 10 000 organisations. La France figure parmi les pays les plus touchés, avec les États-Unis, le Canada, le Royaume-Uni, l’Australie et l’Inde. Les secteurs visés sont variés : négoce, BTP, finance, immobilier, enseignement supérieur, santé.
Avec l’autorisation d’un tribunal américain, Microsoft et plusieurs partenaires (dont Cloudflare, Coinbase et Health-ISAC) ont saisi 50 sites et neutralisé plus de 150 domaines. Deux hommes avaient été arrêtés à Londres le 11 septembre, puis libérés sous caution. Aucune victime n’a été nommée publiquement.
Comment l’attaque a fonctionné
L’attaque détourne un mécanisme parfaitement légitime : la connexion par code. Vous l’avez peut-être déjà utilisée sur une télévision connectée : l’écran affiche un code, vous le tapez sur votre téléphone, et la télé se connecte à votre compte.
- Le pirate demande un code à Microsoft, comme s’il voulait connecter un appareil.
- Il l’envoie à sa cible dans un e-mail crédible : facture, appel d’offres, document partagé, signature électronique. La page piégée propose un bouton « Copier » et un lien vers Microsoft.
- La victime colle le code sur la vraie page de Microsoft, se connecte normalement, valide même la double authentification (MFA) si on la lui demande.
- C’est l’appareil du pirate qui reçoit l’accès. Il obtient des « jetons » (des sortes de badges numériques) qui lui ouvrent la messagerie sans avoir besoin du mot de passe.
Ensuite, le pirate s’installe : il enregistre de nouveaux appareils et crée des règles qui cachent certains e-mails à la victime. Un assistant d’intelligence artificielle intégré au service lit la boîte mail, repère les échanges sur les virements, les factures fournisseurs et les personnes qui valident les paiements, puis rédige de faux e-mails pour détourner l’argent (la fraude au virement, ou « fraude au président » dans sa version la plus connue).
Point important relevé par Microsoft : changer le mot de passe ne suffit pas. Si les jetons ne sont pas révoqués, l’accès du pirate peut rester ouvert.
Ce qu’on ne sait pas encore
Le démantèlement ne signifie pas la fin de cette technique. Selon BleepingComputer, il s’agit d’une perturbation plutôt que d’une disparition, et des copies d’EvilTokens circulaient déjà (BleepingComputer, 22 septembre 2026). On ne sait pas non plus combien de victimes ont réellement subi un virement frauduleux.
Ce que ça change pour une PME
Ce piège est difficile à repérer : l’adresse de la page de connexion est la bonne, la double authentification fonctionne. Les bons réflexes sont donc un peu différents.
- Bloquez la connexion par code là où elle ne sert pas. Dans Microsoft 365, votre prestataire peut désactiver ce mode de connexion pour tous les utilisateurs qui n’en ont pas besoin (règle d’« accès conditionnel », disponible avec certaines licences comme Microsoft 365 Business Premium). C’est la mesure la plus efficace.
- En cas de doute sur un compte, révoquez les sessions, pas seulement le mot de passe. Faites aussi vérifier les appareils enregistrés et les règles de tri de la boîte mail.
- Faites passer un message clair à vos équipes : on ne colle jamais un code reçu par e-mail sur une page de connexion, même si la page est la vraie.
- Imposez un contre-appel pour tout changement de coordonnées bancaires d’un fournisseur ou toute demande de virement inhabituelle, à un numéro déjà connu, jamais celui indiqué dans l’e-mail. Le faux message peut venir d’une vraie boîte mail piratée.
Dossiers : Mots de passe et accès volés · Pièges tendus aux utilisateurs
Cet article prolonge notre bulletin de veille du 23 septembre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.