L’authentification multifacteur (MFA) est considérée depuis des années comme l’une des mesures de protection les plus efficaces contre les prises de contrôle de comptes. De nombreuses organisations s’appuient sur une fonctionnalité de sécurité supplémentaire — comme une application d’authentification ou un SMS — pour empêcher les acteurs malveillants d’accéder aux comptes d’entreprise.
Mais les cybercriminels font constamment évoluer leurs méthodes. Avec Kali365, les chercheurs et autorités en sécurité observent actuellement une méthode d’attaque qui montre que même des mécanismes de protection éprouvés ne suffisent pas toujours. Les entreprises qui utilisent Microsoft 365 en particulier devraient suivre de près les évolutions et revoir leurs mesures de sécurité.
Qu’est-ce que Kali365 ?
Kali365 est une plateforme dite de phishing en tant que service. En résumé, c’est une boîte à outils prête à l’emploi que les cybercriminels peuvent utiliser pour mener des attaques apparemment réelles contre les utilisateurs de Microsoft 365.
Alors que les campagnes classiques de phishing visent à voler des noms d’utilisateur et des mots de passe, Kali365 adopte une approche différente. Les attaquants exploitent les processus de connexion légitimes de Microsoft et tentent d’obtenir des jetons d’accès. Ces jetons servent d’autorisation d’accès numérique et permettent l’accès à divers services Microsoft 365.
La différence clé est que même si l’authentification multi-facteurs a été réalisée avec succès, les attaquants peuvent toujours accéder au compte avec un jeton d’accès capturé.
Pourquoi cette méthode d’attaque est-elle particulièrement dangereuse ?
De nombreux employés ont appris à se méfier des liens suspects ou des fausses pages de connexion. Cependant, Kali365 utilise en partie de véritables services Microsoft et des processus de connexion légitimes. Cela rend les attaques bien plus crédibles que les tentatives de phishing conventionnelles.
De plus, ce type de phishing en tant que service réduit considérablement les obstacles techniques pour les cybercriminels. Les acteurs malveillants n’ont pas besoin de développer eux-mêmes les outils nécessaires, mais peuvent se tourner vers des plateformes déjà préparées.
En conséquence, le nombre et la qualité de ces attaques devraient continuer à augmenter.
Comment fonctionne une attaque typique de Kali 365 ?
Une attaque Kali365 commence généralement par un e-mail de phishing, comme une publication présumée de document ou une notification Teams. L’utilisateur est invité à saisir un code d’appareil ou à confirmer une connexion.
La particularité : L’inscription se fait via un vrai site web Microsoft. L’utilisateur se connecte régulièrement et confirme l’authentification multifactorielle comme d’habitude. En arrière-plan, cependant, l’attaquant a déjà lancé un soi-disant flux de code de l’appareil.
Avec cette confirmation, l’utilisateur autorise involontairement l’un des appareils des attaquants. Microsoft délivre ensuite des permissions d’accès valides, qui sont transmises directement à l’attaquant. Cela peut alors accéder aux services Microsoft 365 tels qu’Outlook, Teams, OneDrive ou SharePoint – sans connaître le mot de passe de l’utilisateur.
C’est précisément ce qui rend Kali365 si dangereux : l’attaque abuse d’un processus de connexion Microsoft légitime et peut ainsi contourner même des mesures de protection éprouvées comme l’authentification multi-facteurs.
Quels systèmes sont affectés ?
En gros, toutes les organisations qui utilisent Microsoft 365 sont concernées. L’accent est mis en particulier sur :
Si un compte est compromis, les acteurs malveillants peuvent accéder aux e-mails, fichiers et données de communication internes. De plus, les comptes compromis sont souvent utilisés pour mener d’autres attaques de phishing au sein de l’entreprise ou contre des partenaires commerciaux.
Comment reconnaître de telles attaques ?
Il y a quelques signaux d’alerte dont les entreprises et les utilisateurs doivent être conscients. Cela inclut des demandes inattendues de connexion à Microsoft 365, des demandes pour saisir des codes d’appareil ou pour libérer une connexion qui n’a pas été initiée par l’utilisateur. Des tentatives de connexion inhabituelles depuis des régions inconnues ou à des moments inhabituels peuvent également indiquer une attaque potentielle.
De plus, toute activité suspecte dans Outlook, OneDrive ou Teams doit être soigneusement surveillée, surtout si des fichiers, des e-mails ou des paramètres sont modifiés sans raison apparente. Puisque les procédures d’enregistrement utilisées semblent souvent légitimes, la règle suivante s’applique en règle générale : toute demande d’enregistrement ou de libération imprévue doit être examinée de manière critique avant d’y réagir.
Quelles mesures de protection sont recommandées ?
La bonne nouvelle, c’est que même si Kali365 cible les méthodes d’authentification modernes, les entreprises peuvent réduire considérablement leurs risques.
Les principales mesures incluent :
Par-dessus tout, il est important de ne pas considérer la MFA comme la seule mesure de protection. Les attaques modernes montrent qu’une approche à plusieurs niveaux de la sécurité est nécessaire.
Kali365 met en lumière une tendance importante dans la cybercriminalité : les acteurs malveillants se concentrent de plus en plus sur le contournement des protections établies plutôt que sur les attaques directement.
Pour les entreprises, cela signifie que même les environnements Microsoft 365 supposés bien protégés devraient être régulièrement vérifiés et surveillés. La combinaison de mesures de protection technique, de surveillance active et de personnel sensibilisé reste la protection la plus efficace contre les attaques de phishing modernes.
Souhaitez-vous rester informé des menaces actuelles et des vulnérabilités de sécurité ?
Abonnez-vous à notre newsletter et recevez directement dans votre boîte mail les avertissements importants, recommandations d’action et évaluations des risques cybernétiques actuels.
Sources et informations complémentaires