REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Une connexion peut être malveillante même lorsque la page d’authentification est authentique. ANY.RUN analyse SkyW4lker, un kit qui pousse l’utilisateur à valider un code d’appareil pour accorder un accès à un tiers, après plusieurs écrans inspirés des échanges professionnels.
Déroulement décrit par la source
- ANY.RUN décrit un kit de phishing par code d’appareil visant Microsoft 365, capable d’abuser du parcours légitime sans voler le mot de passe ni contourner directement la MFA.
- La diffusion décrite utilise une pièce jointe protégée par mot de passe, suivie de pages leurres et d’une demande de code d’appareil Microsoft.
- Les 618 analyses identifiées entre juin et le 21 octobre 2026 représentent des soumissions en sandbox, dont 46 % proviennent des États-Unis.
Comprendre les mécanismes et les enseignements
- Vérifier le domaine de connexion reste nécessaire mais ne suffit pas à comprendre ce que l’on autorise. Le code d’appareil relie une authentification à une demande initiée ailleurs ; l’utilisateur doit connaître l’application et l’action qui l’ont déclenché.
- Les statistiques d’une sandbox reflètent un usage d’analyse et des échantillons soumis, pas un décompte direct de victimes. Les défenses doivent suivre les événements d’identité réels pour déterminer quels comptes ont validé un accès non attendu.
Les vérifications défensives utiles
- Évaluer le besoin des flux de code d’appareil dans l’organisation et appliquer les politiques d’accès disponibles pour les usages autorisés. Tester les applications métier concernées avant de restreindre ces flux, puis documenter les exceptions et leur propriétaire.
- Former les salariés à refuser un code reçu dans un document ou une demande non initiée par eux. Pour un contrat ou une facture, rejoindre le portail connu et vérifier l’expéditeur par un autre canal au lieu de poursuivre une succession d’écrans.
- En cas de validation suspecte, révoquer les sessions et examiner les événements de connexion, consentements et accès aux données du compte. Rechercher d’autres destinataires du leurre puis suivre les activités de messagerie et de partage pendant la remise en confiance.
Portée et limites
Les 618 analyses ne constituent ni 618 entreprises ni 618 intrusions réussies. L’évaluation d’un développeur commun avec un autre kit appartient à ANY.RUN. Le rapport décrit une tromperie dans l’usage d’un mécanisme légitime, pas une démonstration de rupture cryptographique de la MFA.
Rapport original
SkyW4lker Phishing Kit: Microsoft 365 Threat to US Firms — any.run.