Phishing par Device Code Authentication via fausse invitation de partage de fichier

🔍 Contexte

Publié le 15 mai 2026 par Truesec sur leur blog Threat Insight, cet article décrit une tentative de phishing observée sur un client, exploitant le mécanisme d’authentification Device Code Flow de Microsoft pour détourner des sessions utilisateur.

🎣 Déroulement de l’attaque

L’attaque se déroule en plusieurs étapes :

1. La victime reçoit un email de phishing prétendant qu’un expéditeur souhaite partager un document.
2. Un bouton « Open » redirige vers un site malveillant imitant une page légitime.
3. Le site demande à l’utilisateur de copier un code de vérification et de le coller sur la page Microsoft Device Auth (microsoft.com/devicelogin).
4. En cliquant sur « Continue to Microsoft », la victime est redirigée vers une vraie page Microsoft où elle saisit le code et s’authentifie.
5. Ce faisant, la victime autorise involontairement une session contrôlée par l’attaquant, qui obtient un accès complet au compte Entra ID de la victime.

⚙️ Mécanisme technique

Le Device Code Authentication Flow est un mécanisme OAuth légitime conçu pour les appareils sans navigateur (ex : Microsoft Teams Room). L’attaquant initie lui-même le flux, génère un code, puis manipule la victime pour qu’elle l’entre sur la page officielle Microsoft — transférant ainsi le token d’accès à l’attaquant sans que la page finale soit frauduleuse.

🔎 Indicateurs de compromission comportementaux

• Demande de partage de document inattendue par email
• Redirection via un site intermédiaire non familier
• Instruction de copier manuellement un code dans un portail d’authentification

🛡️ Détection (KQL)

Microsoft Defender XDR :

Microsoft Sentinel :

📄 Nature de l’article

Il s’agit d’une analyse technique combinée à une recommandation de sécurité, visant à documenter une technique de phishing émergente et à fournir des requêtes de détection et des mesures de mitigation via Conditional Access pour les équipes SOC et les administrateurs Microsoft 365.

🧠 TTPs et IOCs détectés

TTP

• T1566.002 — Phishing: Spearphishing Link (Initial Access)
• T1078 — Valid Accounts (Defense Evasion)
• T1528 — Steal Application Access Token (Credential Access)
• T1550.001 — Use Alternate Authentication Material: Application Access Token (Lateral Movement)

🟡 Indice de vérification factuelle : 40/100 (moyenne)

• ⬜ truesec.com — source non référencée (0pts)
• ✅ 5273 chars — texte complet (fulltext extrait) (15pts)
• ⬜ aucun IOC extrait (0pts)
• ⬜ pas d’IOC à vérifier (0pts)
• ✅ 4 TTPs MITRE identifiées (15pts)
• ✅ date extraite du HTML source (10pts)
• ⬜ aucun acteur de menace nommé (0pts)
• ⬜ pas de CVE à vérifier (0pts)

🔗 Source originale : https://www.truesec.com/hub/blog/device-code-phishing-via-fake-file-sharing-invitation