Microsoft démantèle EvilTokens, un service de phishing assisté par IA lié à 12 000 boîtes de réception

Le 22 septembre 2026, Microsoft a déclaré avoir démantelé EvilTokens, une plateforme de phishing-as-a-service liée à plus de 12 000 boîtes de réception compromises au sein de plus de 10 000 organisations. Après son lancement en février 2026, les victimes étaient concentrées aux États-Unis, au Canada, au Royaume-Uni, en Australie, en Inde et en France ; elles étaient amenées à saisir un code à usage unique sur la véritable page de connexion de Microsoft, ce qui donnait aux attaquants accès à leur courrier sans qu’elles aient à fournir de mot de passe. Au cœur du service se trouvait un assistant d’IA qui lisait la boîte de réception volée, identifiait qui approuve les paiements et qui valait la peine d’être usurpé, et rédigeait le message de suivi. La Digital Crimes Unit de Microsoft a obtenu une autorisation judiciaire en Virginie, saisi 50 sites web et désactivé plus de 150 domaines ; la police britannique a arrêté deux hommes le 11 septembre. Le dossier complet de l’archive sur le démantèlement, avec sa notation et les sources citées, se trouve dans l’archive des incidents d’IA aux côtés des autres entrées de cette série.

La plateforme, et l’astuce de connexion qu’elle a industrialisée

EvilTokens n’avait pas besoin de mots de passe. Il exploitait le flux d’autorisation d’appareil OAuth, le mécanisme qui sous-tend la connexion sur les appareils dépourvus de clavier ou de navigateur — téléviseurs intelligents, imprimantes, unités de conférence et salles Microsoft Teams. Ce flux affiche un code court sur un appareil et demande à l’utilisateur de le saisir dans une session de navigateur sur un autre. Le blog Sécurité de Microsoft explique pourquoi cette séparation constitue la faiblesse : c’est celui qui lance le flux qui finit par être authentifié.

Dans la chaîne que décrit l'équipe de renseignement sur les menaces de Microsoft, un courriel à tonalité pressante — une facture, un avis de partage de fichiers — mène à une page d'attaquant. Un script d'arrière-plan sur cette page communique en temps réel avec le fournisseur d'identité de Microsoft et génère un code d'appareil actif, qu'il affiche avec un bouton de copie à côté d'un lien « Continuer avec Microsoft ». Ce lien mène au véritable microsoft.com/devicelogin. Pendant que la victime s'authentifie, le script interroge toutes les trois à cinq secondes un point de terminaison /state sur le propre serveur de l'attaquant, pendant les quinze minutes de validité du code, en attendant de voir si la connexion a abouti. Comme un navigateur disposant d'une session existante peut accomplir l'étape en quelques secondes, le code est souvent copié dans le presse-papiers et collé directement. Le mot de passe de la victime n'est jamais saisi dans quoi que ce soit que l'attaquant contrôle, et aucune réinitialisation de mot de passe n'annule ce qui s'est produit : « Cet accès pourrait persister même après une réinitialisation du mot de passe si les sessions et jetons associés n'étaient pas également révoqués », a écrit Steven Masada, conseiller juridique général adjoint et directeur général de la Digital Crimes Unit de Microsoft, dans l'article de l'unité.

Ce que la plateforme a apporté, c’est la reproductibilité. Microsoft indique qu’EvilTokens a livré 44 thèmes d’hameçonnage différents ainsi qu’un ensemble de modèles et de pages de destination, et que l’acteur qu’elle suit sous le nom de Storm-2992 a fait la promotion, vendu, mis à jour et pris en charge ce kit sur Telegram. Selon le Security Blog, une campagne d’avril 2026 a utilisé des plateformes d’automatisation pour créer des milliers de nœuds de sondage uniques et éphémères avec une logique backend Node.js, une conception visant précisément à déjouer la détection par signature. Microsoft attribue à Huntress les observations sur les thèmes en circulation, notamment des propositions d’appels d’offres de construction et des notifications d’expiration de mot de passe. Après compromission, note le Security Blog, certains opérateurs ont enregistré un nouvel appareil en dix minutes afin d’obtenir un Primary Refresh Token pour un accès durable ; d’autres ont attendu des heures avant de créer des règles de boîte de réception et d’exfiltrer des courriels.

Ce que l’IA a fait dans la boîte mail

La description que Microsoft donne elle-même de l’IA est plus précise que la formule accrocheuse « a utilisé l’IA à chaque étape de la chaîne d’attaque », et mérite une lecture attentive. Au cœur du service se trouvait, selon la Digital Crimes Unit, « un chatbot de type IA capable d’analyser la boîte de réception d’une victime et d’aider les criminels à identifier les relations de confiance, les autorisations de paiement et les responsabilités sensibles, ainsi que d’autres circonstances dans lesquelles la fraude avait le plus de chances de réussir ». Il pouvait résumer et traduire les e-mails, faire remonter les conversations financières, cartographier les rôles au sein de l’organisation et recommander des cibles. Des prompts prédéfinis permettaient à un abonné de rechercher des discussions sur les virements, de trouver les « personnes qui font bouger l’argent » de l’organisation, de localiser les factures de fournisseurs et de classer les meilleures personnes à usurper. Il pouvait aussi rédiger des messages en se faisant passer pour des contacts de confiance.

Ce n'est pas de l'autonomie, mais de l'analyse et de la rédaction. Le système lisait ce qu'un opérateur avait déjà volé, le classait et proposait l'action suivante ; un client payant choisissait s'il fallait l'envoyer. Aucun des éléments examinés ici ne décrit EvilTokens composant et envoyant des leurres sans qu'un abonné humain intervienne, ni déplaçant lui-même des fonds. La plainte déposée par Microsoft et Health-ISAC qualifie le stratagème de « conspiration sophistiquée de compromission de courriels professionnels, alimentée par le déploiement de bout en bout d'agents d'intelligence artificielle » — il s'agit de la caractérisation des plaignants dans un acte de procédure, et les fonctions décrites ensuite sont la recherche, le classement et la rédaction au sein d'un panneau de contrôle exploité par un client.

Le détail le plus concret de la pile d’IA provient de cette plainte, que Microsoft publie par l’intermédiaire de son Unité des crimes numériques. Elle allègue que les défendeurs ont intégré les services d’IA de Groq dans les premières versions du panneau de contrôle EvilTokens et, plus récemment, les services d’OpenAI dans une version mise à jour, et elle reproduit une invite système qui présente l’assistant comme un opérateur chevronné de compromission de courriels professionnels et un spécialiste de la fraude par virement bancaire, disponible par défaut pour chaque utilisateur final. Les enquêteurs de Microsoft ont également conclu que de grandes parties de la plateforme étaient « vibe codées », l’IA aidant ses créateurs à la construire, et qu’elle « tirait parti des capacités de plusieurs modèles d’IA ». Interrogé sur l’identité des autres, un porte-parole de Microsoft a refusé de le dire, rapporte The Record. OpenAI est par ailleurs créditée comme partenaire dans le démantèlement.

Les chiffres, et ceux qui les ont comptés

L’ampleur affichée est celle de Microsoft. « Dans les mois suivant son lancement en février 2026, EvilTokens avait été associé à plus de 12 000 boîtes e-mail compromises dans plus de 10 000 organisations à travers le monde », a écrit la Digital Crimes Unit ; le Security Blog reprend le chiffre, et SecurityWeek et Help Net Security le relayent tous deux. La plainte dit la même chose dans ses propres termes — « plus de 12 000 victimes compromises de Microsoft ». Aucun organisme indépendant n’a publié de décompte distinct, et le rôle de Health-ISAC était de se joindre à la plainte en tant que codemandeur parce que des organisations de santé figuraient parmi les cibles, non d’auditer le décompte.

Microsoft signale les plus fortes concentrations d’activité des victimes aux États-Unis, au Canada, au Royaume-Uni, en Australie, en Inde et en France, et cite comme secteurs touchés la distribution en gros, la construction, les services financiers, l’immobilier, l’enseignement supérieur et les soins de santé. La formulation « plus fortes concentrations » compte : ces six pays sont ceux où l’activité était regroupée, et non une liste exhaustive des lieux où se trouvaient les victimes. La plainte allègue que l’entreprise existait pour « faciliter des crimes financiers d’une valeur de millions de dollars », mais les déclarations publiques examinées pour cet article ne donnent aucun montant de pertes, et aucune victime n’a été nommée.

Un point structurel influe sur le crédit que l’on peut accorder aux chiffres. Microsoft est le fournisseur d’identité dont la page de connexion a été exploitée par le stratagème, l’enquêteur qui a rétro-conçu la plateforme, et la source des chiffres de victimes — la même organisation dans ces trois rôles. Son récit est détaillé et cohérent en interne, et il est corroboré sur chaque point vérifié par des médias indépendants, y compris la tarification, le mécanisme et les arrestations. Les chiffres de victimes n’ont pas été vérifiés de manière indépendante.

Le démantèlement : une affaire civile, deux arrestations, et ce qu’elles n’établissent pas

L’action de Microsoft s’est déroulée sur deux fronts. Aux États-Unis, la Digital Crimes Unit a obtenu l’autorisation du tribunal de district des États-Unis pour le district oriental de la Virginie, avec Health-ISAC en tant que co-demandeur, puis a collaboré avec Cloudflare, Coinbase, OpenAI, Railway, SpyCloud, The Shadowserver Foundation et TRM Labs « pour agir contre des composantes clés de la plateforme », selon ses propres termes. Microsoft indique avoir saisi 50 sites web utilisés pour exploiter le service et désactivé plus de 150 domaines supplémentaires liés à son infrastructure. Elle qualifie l’opération de 40e perturbation autorisée par un tribunal et de première visant ce qu’elle appelle « un service de cybercriminalité de bout en bout assisté par l’IA ».

La plainte à l’origine de cette action nomme deux défendeurs résidant au Royaume-Uni — Felix Utomi et Waidi Segun Adams — ainsi que cinq parties non nommées, DOES 1-5, et invoque des violations du Computer Fraud and Abuse Act, de l’Electronic Communications Privacy Act, du Lanham Act et du Racketeer Influenced and Corrupt Organizations Act. La copie publiée par l’unité des crimes numériques de Microsoft porte la mention « filed under seal », ne comporte aucun numéro de dossier et décrit deux défendeurs fournisseurs d’infrastructure, trois membres du personnel de soutien décrits uniquement par leurs pseudonymes Telegram et intitulés de poste, et deux utilisateurs finaux dont l’accès comprenait un client de Microsoft basé en Virginie et un membre de Health-ISAC basé en Virginie. SecurityWeek rapporte que la plainte cible également cinq individus non nommés. Le résumé de l’affaire établi par l’archive indique qu’une société enregistrée au Royaume-Uni, derrière la plateforme, est nommée dans les écritures ; la légende publiée ne nomme que des personnes, et ni les publications de Microsoft ni les articles examinés ici n’identifient un défendeur constitué en société.

Par ailleurs, l'équipe de lutte contre la cybercriminalité du Metropolitan Police Service a arrêté deux hommes, âgés de 32 et 38 ans, le 11 septembre 2026, en saisissant des appareils numériques et d'autres objets. Les deux ont été libérés sous caution policière assortie de conditions pendant que l'enquête se poursuit, a déclaré la Digital Crimes Unit. La Met a confirmé les arrestations à The Record et indiqué que les hommes étaient détenus pour suspicion de fabrication d'articles destinés à être utilisés dans une fraude et de blanchiment d'argent ; Microsoft, qui a signalé l'affaire aux forces de l'ordre en août, a refusé de les identifier auprès de ce média. L'inspectrice-détective Serena D'Adamo, dont l'équipe a dirigé l'enquête, a déclaré : « Les services d'hameçonnage causent des souffrances à des milliers de personnes, en prenant de l'argent à des gens ordinaires dans le monde entier. »

Ce que le dossier ne contient pas mérite tout autant d’être dit. Aucune accusation n’a été annoncée. Aucun tribunal n’a rendu de conclusion à l’encontre de qui que ce soit. Être nommé dans une plainte civile constitue une allégation, non une condamnation, et les deux hommes arrêtés ont été libérés sous caution plutôt qu’inculpés. Rien de ce qui a été publié n’indique que l’infrastructure saisie ait été rattachée à une perte frauduleuse précise ; ni les publications de Microsoft ni la couverture médiatique examinée ici ne l’associent à une telle perte, et selon la propre formulation de Microsoft, la perturbation ne signifie pas l’éradication : « L’infrastructure qui soutenait EvilTokens a été perturbée, mais le modèle qu’elle a démontré ne disparaîtra pas avec elle », a écrit Masada.

Ce que Microsoft dit que les défenseurs devraient faire

Les recommandations du Security Blog sont exceptionnellement concrètes et constituent la partie de l’épisode qui a l’applicabilité la plus large. Sa première recommandation est de bloquer purement et simplement le flux de code d’appareil partout où il n’est pas nécessaire ; lorsque les appareils Teams l’exigent, de restreindre l’exception à des comptes de ressources d’appareils Teams spécifiques et d’exclure la ressource Device Registration Service de l’accès conditionnel. Au-delà, il conseille l’authentification multifacteur résistante à l’hameçonnage, comme les jetons FIDO ou les clés d’accès Microsoft Authenticator, de bloquer l’authentification héritée et d’éviter l’authentification multifacteur par téléphonie ; d’activer Safe Links, ce qui, selon lui, active aussi les alertes d’hameçonnage par code d’appareil à haut niveau de confiance ; d’élever le seuil d’hameçonnage avancé à 2 ou 3 ; d’activer la purge automatique à l’heure zéro ; et de déclencher des alertes en cas de création suspecte de règles de boîte de réception.

Pour les équipes d’intervention, le blog Security signale un piège qui explique pourquoi ces intrusions persistent. La révocation standard des sessions avec revokeSignInSessions peut n’invalider que les jetons d’actualisation, laissant les jetons d’accès valides jusqu’à une heure — Microsoft recommande donc de désactiver temporairement un compte compromis pour un endiguement immédiat, et de traiter une suspicion de vol de jeton d’actualisation avec son playbook de vol de jetons. La Digital Crimes Unit ajoute un contrôle qu’aucun produit ne fournit : vérifier indépendamment, via un second canal de confiance, les demandes de modification des informations de paiement, de redirection de fonds ou d’approbation de transactions inhabituelles. La leçon que l’unité tire pour les organisations est que « une fois une boîte de réception compromise, les criminels peuvent en comprendre le contenu en quelques minutes, et non en quelques jours. »

Aucune de ces recommandations n’a fait l’objet d’une évaluation indépendante, et le dossier ne contient aucune mesure du nombre d’organisations touchées qui avaient activé le flux de code d’appareil, ni du nombre de celles qui l’ont depuis bloqué. Microsoft a informé les clients concernés et aidé à remédier aux comptes compromis, affirme l’entreprise ; ce que chaque organisation a fait en réponse n’est pas public.

Les archives classent cette entrée comme un incident réalisé, de gravité élevée, de niveau de confiance A, non contesté, avec un préjudice réel consigné et une implication de l’IA confirmée, daté du seul jour de l’annonce de Microsoft. Cette notation reflète la qualité de la documentation de l’événement — deux publications de Microsoft, un document judiciaire et une couverture médiatique indépendante qui concordent sur le mécanisme, la tarification et les arrestations — et c’est la raison pour laquelle ce compte rendu peut être précis sur la chaîne d’attaque. Elle ne transforme pas les décomptes de victimes de Microsoft en un chiffre audité, et elle ne fait pas non plus des allégations au civil contre deux hommes nommément désignés des constats établis. Le point le plus durable est peut-être celui que Microsoft avance contre son propre intérêt : l’infrastructure est hors service, mais le modèle — une session volée, un assistant qui lit la boîte de réception et un plan de fraude rédigé en quelques minutes — ne l’est pas.