Introduction
Le phishing OAuth Microsoft 365 EvilTokens redéfinit les règles du vol d’identifiants d’entreprise. Depuis le 19 février 2026, une campagne active de phishing par code d’appareil cible les comptes Microsoft 365 dans plus de 340 organisations aux États-Unis, au Canada, en Australie, en Nouvelle-Zélande et en Allemagne. Journees En effet, cette attaque ne vole pas les mots de passe. Elle détourne les tokens OAuth — les jetons d’authentification générés par Microsoft après connexion. Par conséquent, même les organisations qui ont activé l’authentification multifacteur ne sont pas protégées. Les tokens OAuth restent valides même après une réinitialisation du mot de passe. UNESCO Ainsi, pour toutes les organisations africaines et mondiales utilisant Microsoft 365, comprendre et bloquer cette technique est une priorité immédiate.
Phishing OAuth Microsoft 365 EvilTokens : comment fonctionne l’attaque par device code
Le flux de Device Authorization Grant est légitime — il est conçu pour permettre aux utilisateurs de se connecter sur un appareil en entrant un code court affiché sur un autre. Mais les attaquants l’ont transformé en arme. Ministère de l’Europe et des Affaires étrangères
La technique se déroule en cinq étapes précises. En effet, comprendre chaque étape est indispensable pour identifier les signaux d’alerte.
Étape 1. L’attaquant lance un flux d’autorisation OAuth auprès de Microsoft. Microsoft lui fournit un code d’appareil et une URL légitime — microsoft.com/devicelogin.
Étape 2. L’attaquant envoie un email de phishing à la victime. L’email enveloppe des URLs malveillantes dans des services de redirection légitimes de Cisco, Trend Micro et Mimecast pour contourner les filtres anti-spam. Une chaîne de redirections multi-niveaux utilise des sites compromis, des Cloudflare Workers et Vercel comme intermédiaires. Journees
Étape 3. La victime arrive sur une page qui affiche directement le code fourni par Microsoft. En outre, la page lui demande de saisir ce code sur microsoft.com/devicelogin — une page parfaitement légitime. De ce fait, la victime ne voit rien de suspect. Elle interagit uniquement avec des services Microsoft authentiques.
Étape 4. La victime saisit le code sur la page Microsoft officielle. Elle s’authentifie normalement — y compris avec son MFA. Par conséquent, Microsoft génère un jeu de tokens OAuth valides.
Étape 5. L’attaquant récupère ces tokens depuis l’endpoint de l’API OAuth en fournissant le device code correct. UNESCO Il dispose alors d’un accès complet au compte Microsoft 365 de la victime — sans jamais avoir eu besoin de son mot de passe ni de son code MFA.
EvilTokens : une plateforme criminelle complète avec support 24h/24
Huntress a attribué cette campagne à EvilTokens, une nouvelle plateforme de Phishing-as-a-Service. Elle a fait sa première apparition publique sur Telegram le 16 février 2026. Cette activité correspond aux premières compromissions observées depuis l’infrastructure Railway les 19 et 24 février 2026. UNESCO
EvilTokens propose trois produits à ses clients : un « B2B Sender », un « Office 365 Capture Link » et un « SMTP Sender ». Ces deux premiers outils intègrent des workflows IA pour contourner les filtres emails, personnaliser les leurres de phishing et identifier les emails sensibles pour la fraude bancaire ou l’exfiltration de données. En plus de la croissance rapide des fonctionnalités, l’équipe EvilTokens a constitué une équipe de support disponible 24h/24 et 7j/7. Journees
En effet, cette structure commerciale complète — avec support client, retours utilisateurs et mises à jour régulières — illustre la professionnalisation croissante de la cybercriminalité. Par conséquent, EvilTokens n’est pas un outil artisanal. C’est une entreprise criminelle structurée qui abaisse considérablement le niveau de compétence nécessaire pour lancer des attaques sophistiquées.
Railway.com : une infrastructure PaaS transformée en moteur de vol de tokens
Les tentatives d’authentification malveillantes proviennent d’un petit groupe d’adresses IP Railway.com. Trois d’entre elles représentent environ 84% des événements observés. Railway est une plateforme d’hébergement cloud PaaS que la plupart des équipes de sécurité n’avaient jamais eu de raison de bloquer. UNESCO
En effet, c’est précisément cette invisibilité qui rend Railway si efficace comme infrastructure d’attaque. En outre, les tokens capturés sont rejoués depuis l’infrastructure Railway, qui agit comme un moteur de replay de tokens — permettant un accès persistant et automatisé aux comptes compromis. UNESCO Par conséquent, bloquer les plages d’adresses IP Railway constitue une mesure de protection immédiate pour les organisations qui ne peuvent pas encore déployer des politiques Conditional Access plus restrictives.
Des leurres variés pour toucher tous les secteurs
Les secteurs ciblés par cette campagne incluent la construction, les organisations à but non lucratif, l’immobilier, la fabrication industrielle, les services financiers, la santé, le droit et le gouvernement. Journees
Ce qui rend aussi cette campagne inhabituelle, c’est la variété des techniques observées. Des leurres d’appels d’offres de construction, des pages générées par IA, des imitations de DocuSign, des notifications de messagerie vocale et des abus de pages Microsoft Forms ciblent toutes le même groupe de victimes via la même infrastructure Railway.com. Journees
En effet, il n’existe aucun leurre de phishing ou domaine initial identique entre les différentes attaques. Bien qu’il y ait une réutilisation thématique, la variance dans les leurres est sans précédent. UNESCO Par conséquent, les outils de détection basés sur des signatures de campagne connues restent largement inefficaces contre cette attaque. De ce fait, la détection comportementale et la surveillance des tokens OAuth sont les seules approches fiables.
Un phénomène qui dépasse EvilTokens : des acteurs étatiques impliqués
Cette technique ne se limite pas à EvilTokens. En effet, depuis janvier 2025, Proofpoint a suivi plusieurs acteurs étatiques utilisant le phishing par device code OAuth pour des prises de contrôle de comptes. Cette technique est le plus souvent utilisée par des acteurs alignés avec la Russie. Autorité de Régulation des Télécommunications/TIC de Côte d’Ivoire
UNK_AcademicFlare, un acteur suspecté d’être aligné avec la Russie, mène des campagnes de phishing par device code depuis au moins septembre 2025. Le groupe cible des entités gouvernementales, des think tanks, des établissements d’enseignement supérieur et des organisations de transport aux États-Unis et en Europe. Il utilise d’abord une approche de mise en confiance via des échanges bienveillants, puis partage des liens malveillants vers des URLs Cloudflare Worker imitant OneDrive. Autorité de Régulation des Télécommunications/TIC de Côte d’Ivoire
Par conséquent, cette technique combine la sophistication des acteurs étatiques et l’accessibilité des outils criminels commerciaux comme EvilTokens. De ce fait, elle représente une menace transversale qui touche aussi bien les grandes administrations que les PME.
Pourquoi cette attaque est critique pour les organisations africaines
Microsoft 365 est déployé massivement dans les entreprises, les banques, les universités et les administrations africaines. En effet, la pénétration de Microsoft 365 progresse rapidement sur le continent grâce aux offres cloud de Microsoft Africa. Par conséquent, les organisations africaines sont exposées exactement comme leurs homologues américaines ou européennes à cette campagne.
Par ailleurs, cette attaque cible notamment les organisations qui appliquent déjà des mots de passe forts et le MFA. Ministère de l’Europe et des Affaires étrangères De ce fait, les organisations africaines qui pensaient être protégées par leur déploiement MFA doivent reconsidérer leur niveau d’exposition. En outre, les secteurs les plus ciblés — gouvernement, santé, services financiers — correspondent précisément aux secteurs les plus actifs dans leur adoption de Microsoft 365 en Afrique. Par conséquent, l’urgence de déployer les contre-mesures décrites ci-dessous est réelle et immédiate.
Les actions de protection à mettre en œuvre immédiatement
Huntress a recommandé plusieurs mesures de protection immédiates pour les administrateurs Microsoft 365. UNESCO Voici les actions prioritaires.
Bloquer les flux de device code OAuth non nécessaires. En effet, la plupart des organisations n’ont aucun besoin légitime d’utiliser le flux de Device Authorization Grant. Par conséquent, désactiver ce flux via des politiques Conditional Access dans Microsoft Entra ID élimine totalement le vecteur d’attaque.
Bloquer les adresses IP Railway.com. Les trois adresses IP Railway qui représentent 84% des événements observés constituent un point de blocage très efficace avec peu de faux positifs. UNESCO De ce fait, ajouter ces plages IP à la liste de blocage constitue une protection rapide à déployer.
Surveiller les user agents suspects. L’iPhone OS 18_7 associé à Version/26.3 constitue une opportunité de détection — iOS 26 n’existe pas début 2026. Une règle de détection ciblant iPhone OS 18 + Version/26 depuis des plages IP de fournisseurs cloud aurait une très haute fidélité avec très peu de faux positifs. UNESCO
Révoquer immédiatement les tokens OAuth compromis. En outre, si une compromission est suspectée, réinitialiser le mot de passe ne suffit pas. Les tokens OAuth restent valides même après une réinitialisation du mot de passe. UNESCO Par conséquent, révoquer tous les tokens de session actifs via le portail Entra ID est l’action indispensable en cas d’incident.
Activer les alertes sur les connexions depuis des fournisseurs cloud inhabituels. De ce fait, tout accès à Microsoft 365 depuis des adresses IP appartenant à Railway, Cloudflare Workers, Vercel ou d’autres PaaS inhabituels doit déclencher une alerte SOC immédiate.
Conclusion
Le phishing OAuth Microsoft 365 EvilTokens marque une évolution majeure dans les techniques d’attaque contre les comptes cloud d’entreprise. En effet, contourner le MFA sans pirater l’infrastructure Microsoft, sans exploiter de faille technique et sans voler de mot de passe — juste en abusant d’un flux d’authentification légitime — représente une sophistication redoutable. Par conséquent, les organisations africaines et mondiales qui pensaient que le MFA les protégeait entièrement contre le phishing doivent mettre à jour leur modèle de menace. Ainsi, bloquer le flux device code OAuth, surveiller les tokens et déployer des politiques Conditional Access strictes constituent les trois piliers d’une défense efficace contre cette nouvelle génération d’attaques.
