La MFA ne suffit plus.
Le phishing Microsoft 365 de 2026.

Si votre posture de sécurité repose sur « nous avons la MFA partout », cet article est pour vous. Depuis un an, la menace majeure sur Microsoft 365 est passée du vol de mots de passe au vol du jeton de session que Microsoft délivre après une authentification réussie. L'attaquant n'a jamais besoin de votre mot de passe ni de votre code MFA — car vous validez vous-même le défi MFA, pour son compte.

Ce qui a réellement changé

Deux techniques sont passées de curiosité de laboratoire à criminalité de masse en 2026. Dans le phishing adversary-in-the-middle (AiTM), la victime est attirée vers un proxy invisible placé entre elle et la vraie page de connexion Microsoft. Tout paraît authentique — la vraie page Microsoft, le vrai défi MFA — mais le proxy capture le jeton de session au passage. Lors d'une seule fenêtre de trois jours en avril 2026, une campagne AiTM a récolté identifiants et jetons de session de plus de 35 000 utilisateurs dans 13 000 organisations et 26 pays. Chacune de ces victimes utilisait la MFA.

La seconde, le phishing par device-code, détourne une fonctionnalité légitime de Microsoft (le flux d'autorisation d'appareil OAuth). La victime est manipulée pour saisir un code court — issu de ce qui ressemble à une demande du service IT, un document partagé ou une alerte de messagerie vocale — qui autorise silencieusement l'appareil de l'attaquant. Début 2026, cette technique était packagée en kits de phishing-as-a-service et avait déjà touché plus de 340 organisations Microsoft 365, les OBNL, services juridiques et administrations locales figurant parmi les secteurs les plus visés.

Pourquoi cela compte davantage dans la Genève internationale

Les organisations qui font la particularité de cette ville — ONG, agences onusiennes, missions diplomatiques, fondations — sont des cibles particulièrement attractives. Une boîte aux lettres d'ONG compromise n'est pas qu'une messagerie ; c'est un expéditeur de confiance capable de piéger un partenaire, un bailleur ou un contact gouvernemental. Les acteurs de menace le savent, et les données de ciblage sectoriel le confirment : les OBNL figurent en tête des listes de victimes pour les deux techniques. Le problème des mots de passe réutilisés qui alimente ces campagnes est aggravé par la rotation du personnel et la culture des boîtes partagées propres au secteur.

Ce qui défend réellement

La bonne nouvelle : le phishing par vol de jeton se contre — mais pas avec les contrôles que la plupart des organisations croient déjà avoir. Les mesures qui fonctionnent vraiment :

• Une MFA résistante au phishing (clés de sécurité FIDO2, Windows Hello, ou passkeys) pour les administrateurs au minimum, idéalement tout le personnel. Elle lie l'authentification au vrai domaine : un proxy AiTM ne peut pas la relayer.
• L'accès conditionnel qui exige un appareil géré et conforme, restreint les connexions par localisation, et bloque les flux hérités et device-code que vous n'utilisez pas.
• La protection des jetons et des durées de session courtes, pour qu'un jeton volé expire vite et puisse être révoqué.
• Une surveillance des journaux de connexion par un SOC qui veille à 3 heures du matin — les anomalies comportementales (voyage impossible, octroi device-code, jeton utilisé depuis une nouvelle infrastructure) sont détectables, mais seulement si quelqu'un regarde.
• Une révocation rapide et une réponse testée : quand un jeton est volé, révoquer les sessions et forcer la ré-authentification en quelques minutes fait la différence entre l'incident évité et la compromission.

Le constat qui dérange

Si votre dernière revue de sécurité a conclu « la MFA est activée, nous sommes couverts », elle est dépassée. La question de 2026 n'est pas si vous avez la MFA, mais si vous avez une MFA résistante au phishing, un accès conditionnel, et quelqu'un qui surveille les journaux de connexion au moment où l'attaque survient — la nuit, le week-end, dans une langue en laquelle vos équipes ont confiance. C'est précisément l'écart que notre SOC genevois existe pour combler.