Ce kit d'hameçonnage franchit la double authentification de Microsoft 365 sans voler un seul mot de passe

Vous vous êtes connecté correctement, la double authentification a bien fonctionné, et l'intrus est entré quand même

L'hameçonnage le plus efficace du moment ne réclame pas votre mot de passe. Il vous invite à vous connecter normalement, sur la véritable page de Microsoft, puis à valider votre double authentification comme chaque matin. Tout se passe sans accroc de votre côté. À la fin, c'est l'attaquant qui repart avec une clé fonctionnelle de votre boîte de réception.

Ce tour de passe-passe porte un nom : Kali365. Le FBI a alerté à son sujet le 21 mai 2026. S'il mérite l'attention, c'est qu'il neutralise la mesure de sécurité que la plupart des organisations ont déployée à grands frais ces cinq dernières années, en la retournant contre elles.

Ce que décrit l'alerte du FBI

Kali365 relève du phishing-as-a-service (hameçonnage à la demande), un modèle où des cybercriminels louent par abonnement une infrastructure d'attaque clés en main qu'ils seraient incapables de bâtir seuls. Apparue en avril 2026 et diffusée principalement via Telegram pour environ 250 dollars par mois, la plateforme fournit des courriels d'appât rédigés par IA, des modèles de campagne et un tableau de bord qui suit en direct les cibles ayant mordu à l'hameçon. Les chercheurs ont recensé plusieurs centaines d'attaques dès le mois d'avril, en Amérique du Nord comme en Europe.

Le cœur de la manœuvre tient à un détail technique. Kali365 détourne une fonction légitime de Microsoft, le flux d'authentification par code d'appareil (device code flow), prévu pour connecter les appareils dépourvus de clavier, un téléviseur connecté ou un outil en ligne de commande par exemple. L'attaquant déclenche auprès de Microsoft une vraie demande de connexion de ce type et reçoit un code authentique. Il l'expédie alors à sa victime, sous l'apparence d'une notification de partage de document, en lui demandant d'ouvrir la véritable page de vérification Microsoft et d'y saisir le code. La victime s'exécute : elle valide son mot de passe et sa double authentification (MFA, l'étape de connexion supplémentaire telle qu'un code reçu sur le téléphone) sur le site réel de Microsoft. En entrant ce code, elle autorise en réalité l'appareil de l'attaquant. Microsoft renvoie des jetons OAuth, ces jetons d'accès et de rafraîchissement qui attestent qu'une application a le droit d'entrer dans un compte, et l'intrus accède dès lors à Outlook, Teams et OneDrive, sans mot de passe et sans nouvelle vérification. Le FBI détaille toute la chaîne dans son alerte publique.

• À aucun moment la victime ne visite une fausse page : tous les écrans qu'elle voit sont hébergés par Microsoft, ce qui explique pourquoi la recherche d'un domaine usurpé ne donne rien.
• Le jeton de rafraîchissement dérobé ouvre un accès durable : l'attaquant peut revenir dans le compte longtemps après cette unique connexion, tant que personne ne révoque explicitement le jeton.
• Le kit met cette campagne à la portée d'acteurs peu qualifiés, faisant tomber la barrière technique qui réservait jusqu'ici le vol de jetons à des groupes aguerris.

Pourquoi votre double authentification n'a rien arrêté

Le préjudice est concret et déjà répandu : un accès persistant aux messageries et aux fichiers de centaines d'organisations, à la disposition de quiconque possède 250 dollars et un compte Telegram. Le point qui doit retenir l'attention de votre équipe se situe ailleurs. La double authentification, ce réflexe que vous avez inculqué à tous, ne joue aucun rôle ici. Kali365 ne vole pas un mot de passe pour le rejouer ; il s'empare de la session née d'une connexion parfaitement légitime, si bien que l'attaquant hérite d'un lien déjà authentifié. Si votre sensibilisation interne apprend encore aux collaborateurs à traquer le lien douteux ou la fausse fenêtre de connexion, elle surveille une porte que l'assaillant n'emprunte plus. Voici le glissement à porter à votre prochaine réunion de pilotage : la cible des attaquants est passée des identifiants aux jetons. Un mot de passe se réinitialise, un facteur d'authentification se réenrôle, mais un jeton actif accorde silencieusement l'accès que ces deux mesures étaient censées défendre, alors que l'essentiel des protections reste braqué sur le mot de passe.

Les bons réflexes à adopter

1. Désactivez le flux par code d'appareil si vous n'en avez pas réellement besoin. Créez dans Microsoft Entra une stratégie d'accès conditionnel qui bloque cette authentification pour l'ensemble des utilisateurs, à de rares exceptions près, car presque aucun collaborateur ordinaire ne s'en sert et c'est précisément la porte qu'emprunte Kali365.
2. Considérez comme hostile tout courriel contenant un code accompagné d'instructions de connexion. Rappelez à vos équipes qu'un service légitime n'envoie jamais un code en demandant de le saisir ailleurs pour « vérifier » un document, puisque toute l'attaque repose sur le fait que la victime colle ce code dans Microsoft de son plein gré. Complétez par des méthodes de connexion résistantes à l'hameçonnage lorsque c'est possible, en suivant les recommandations de la CISA sur la MFA.
3. Cherchez les jetons volés et révoquez-les, au lieu de vous contenter de réinitialiser les mots de passe. Surveillez dans les journaux de connexion les nouvelles autorisations par code d'appareil et les sessions inhabituelles, et révoquez les jetons de rafraîchissement à la moindre alerte, car changer un mot de passe laisse un jeton dérobé parfaitement opérationnel.

À retenir

Kali365 signale un déplacement de cible. Pendant des années, le butin était votre mot de passe et la double authentification faisait office de réponse. Ce kit ignore l'un comme l'autre : il vous laisse vous authentifier sans faille, puis emporte le jeton que cette authentification produit. Toute défense qui suppose qu'une intrusion commence par un identifiant volé passera à côté. Posez une seule question lors de votre prochaine revue de sécurité : si un collaborateur s'est connecté correctement aujourd'hui et qu'un attaquant est tout de même reparti avec un accès durable à sa boîte, votre supervision s'en apercevrait-elle seulement ?