Un coup de filet d’envergure, orchestré par Microsoft et la police britannique, a permis de démanteler EvilTokens, un service de phishing par abonnement qui a compromis des milliers de comptes Microsoft 365. Plongez dans les coulisses de cette opération et découvrez comment les autorités ont mis fin à cette menace cybercriminelle sophistiquée.
L’essentiel à retenir
- Microsoft et la police londonienne ont arrêté deux individus et saisi 50 sites web liés à EvilTokens.
- Plus de 12 000 comptes Microsoft 365 ont été compromis sans vol de mot de passe, grâce à un détournement de la méthode de connexion par code d’appareil.
- Les opérateurs d’EvilTokens ont engrangé environ 1,1 million de dollars en cryptomonnaies, en exploitant des kits de phishing vendus sur Telegram.
Imaginez-vous en train de vérifier vos e-mails, sans savoir qu’à cet instant même, un pirate accède à votre boîte de réception sans jamais avoir eu besoin de votre mot de passe. C’est exactement le scénario qui s’est produit pour des milliers d’utilisateurs de Microsoft 365, victimes du service de phishing EvilTokens. Dans les coulisses, une équipe de cybercriminels orchestrait cette opération depuis des mois, mettant à profit des outils technologiques de pointe pour contourner les mesures de sécurité habituelles. Mais leur impunité a pris fin grâce à une collaboration internationale sans précédent.
Une opération conjointe entre Microsoft et la police londonienne
Chaque semaine, nous sélectionnons les solutions les plus utiles pour les professionnels du digital : IA, productivité, marketing, création de contenu et business. Voici les outils que nous recommandons actuellement.
☁️ pCloud – Le stockage cloud sécurisé avec une offre à vie.
Sauvegardez vos fichiers, photos et documents importants avec plusieurs centaines de Go ou plusieurs To disponibles.
→ Découvrir l'offre pCloud
🛒 Shopify – Créez votre boutique e-commerce sans coder.
Une solution complète pour lancer, gérer et développer votre activité en ligne.
→ Tester Shopify gratuitement
🤖 Jasper – L'assistant IA pour accélérer votre marketing.
Création de contenus, campagnes publicitaires et idées marketing : gagnez du temps grâce à l'intelligence artificielle.
→ Découvrir Jasper
🎬 CapCut Pro – Le montage vidéo dopé à l'IA.
Créez rapidement des vidéos professionnelles avec des outils avancés et automatisés.
→ Tester CapCut Pro
📊 HubSpot CRM – Le CRM idéal pour structurer votre croissance.
Gérez vos prospects, vos ventes et vos campagnes marketing depuis une seule plateforme.
→ Découvrir HubSpot CRM
🧠 MindManager – Organisez vos idées et vos projets efficacement.
Un outil puissant pour créer des mind maps, structurer vos stratégies et mieux collaborer.
→ Découvrir MindManager
🇬🇧 Gymglish – Améliorez votre anglais professionnel chaque jour.
Des cours personnalisés et courts pour progresser facilement, quel que soit votre niveau.
→ Profiter de l'essai gratuit
🌍 Preply – Apprenez une langue avec un professeur particulier.
Trouvez un enseignant adapté à vos objectifs et progressez à votre rythme.
→ Trouver votre professeur
Les efforts coordonnés entre Microsoft et la police métropolitaine de Londres ont abouti à l’arrestation de deux hommes soupçonnés d’avoir administré EvilTokens. Ces arrestations ont eu lieu à Canary Wharf et Nine Elms, des quartiers londoniens où les autorités ont également recueilli des preuves incriminantes.
En parallèle, un tribunal fédéral de Virginie a autorisé Microsoft, en collaboration avec Health-ISAC, à démanteler l’infrastructure utilisée par EvilTokens. Cette action a permis de désactiver 50 sites web et plus de 150 domaines liés à ce service de phishing.
La technique de phishing par code d’appareil
EvilTokens exploitait une méthode de connexion par code d’appareil, initialement conçue pour simplifier l’accès aux téléviseurs connectés et autres appareils sans clavier. Les pirates détournaient cette fonctionnalité en générant un code qu’ils envoyaient à leurs victimes. En saisissant ce code sur une page authentique de Microsoft, les utilisateurs autorisaient sans le savoir une session de pirate, même si la double authentification était activée.
Un réseau lucratif et bien organisé
Le groupe à l’origine d’EvilTokens, identifié par Microsoft sous le nom de Storm-2992, n’était pas affilié à de grands réseaux cybercriminels connus. Cependant, il a su tirer parti des plateformes numériques comme Telegram pour vendre ses kits de phishing. Les abonnés payaient 1 500 dollars pour le kit de base, avec des frais mensuels supplémentaires pour maintenir l’accès à un tableau de bord et bénéficier de divers modules complémentaires, tels que des outils de redirection antibot.
Ce modèle commercial a rapporté environ 1,1 million de dollars en cryptomonnaies aux opérateurs, qui ont reçu plus de 1 000 dépôts de 700 adresses différentes.
Mesures recommandées pour les entreprises
Pour prévenir de telles attaques, Microsoft recommande aux entreprises de bloquer la connexion par code d’appareil via les stratégies d’accès conditionnel d’Entra ID, sauf pour les appareils qui ne supportent pas d’autres méthodes. En cas de compromission d’un compte, il est conseillé de désactiver temporairement le compte pour rendre les jetons d’accès invalides immédiatement.
Les implications de l’intelligence artificielle dans les cyberattaques
Un aspect troublant de l’opération EvilTokens est l’utilisation de l’intelligence artificielle pour affiner les attaques. Les pirates utilisaient l’IA pour identifier les employés habilités à valider des paiements et cibler leurs communications. Cette technologie permettait également de générer des e-mails de phishing plus convaincants, augmentant ainsi l’efficacité des attaques.
L’avenir du phishing et des cybermenaces
La lutte contre les cybermenaces reste un défi permanent. Malgré le démantèlement d’EvilTokens, d’autres kits de phishing continuent d’émerger, exploitant de nouvelles vulnérabilités. Les experts en cybersécurité, comme Tanmay Ganacharya de Microsoft, soulignent la nécessité d’une vigilance constante et d’une adaptation rapide aux nouvelles tactiques des cybercriminels.
La collaboration entre entreprises technologiques et forces de l’ordre est cruciale pour contrer ces menaces. Des organisations telles que Cloudflare, Coinbase, et OpenAI jouent également un rôle clé dans la sécurisation du cyberespace en fournissant des outils et des services qui renforcent la résilience contre les attaques.
FAQ
Qu’est-ce qu’EvilTokens ?
EvilTokens était un service de phishing par abonnement qui permettait à ses utilisateurs de compromettre des comptes Microsoft 365 sans voler les mots de passe, grâce à un détournement de la méthode de connexion par code d’appareil.
Comment Microsoft a-t-il contribué à démanteler EvilTokens ?
Microsoft a collaboré avec la police métropolitaine de Londres pour arrêter des suspects et saisir l’infrastructure de EvilTokens, en désactivant 50 sites web et plus de 150 domaines liés au service.
Quelle est la méthode de phishing utilisée par EvilTokens ?
Les pirates utilisaient une méthode de connexion par code d’appareil, initialement conçue pour simplifier l’accès aux appareils sans clavier, pour détourner les sessions de connexion et accéder aux comptes des victimes à leur insu.
Quels sont les conseils de sécurité de Microsoft pour les entreprises ?
Microsoft recommande de bloquer la connexion par code d’appareil pour les équipements qui le permettent et de désactiver temporairement les comptes compromis pour invalider immédiatement les jetons d’accès.