Hameçonnage par « code d’appareil » : l’arnaque Microsoft 365 qui déjoue l’AMF des PME

Vous avez activé l’authentification multifacteur (AMF) sur vos comptes Microsoft 365? Excellent. C’est encore l’une des meilleures protections qui soient. Mais une technique d’hameçonnage en forte croissance réussit à la contourner sans jamais voler votre mot de passe : l’hameçonnage par « code d’appareil ».

Le 22 septembre 2026, Microsoft a annoncé avoir démantelé EvilTokens, une plateforme d’hameçonnage « clés en main » qui utilisait cette technique. Lancée en février 2026, elle a été liée à plus de 12 000 boîtes courriel compromises dans plus de 10 000 organisations. Et le Canada figure parmi les pays où Microsoft a observé le plus de victimes, avec les États-Unis, le Royaume-Uni, l’Australie, l’Inde et la France.

Comment fonctionne l’arnaque

Microsoft offre une façon légitime de se connecter à partir d’appareils sans clavier, comme une télé intelligente, une imprimante ou un appareil de salle de conférence Teams. L’appareil affiche un court code, et vous l’entrez sur une page Microsoft à partir de votre ordinateur ou de votre téléphone.

Les fraudeurs détournent ce mécanisme :

1. Ils vous envoient un courriel crédible : une facture, un appel d’offres, un document partagé ou à signer, un message vocal.
2. On vous demande d’entrer un code sur une vraie page de Microsoft pour « accéder au document ».
3. Vous vous connectez normalement, avec votre mot de passe et votre AMF. Tout semble légitime… parce que ça l’est.
4. Mais ce code appartenait au fraudeur. Vous venez d’autoriser son appareil à accéder à votre compte.

Résultat : le fraudeur obtient un accès à vos courriels, à OneDrive et à SharePoint, sans connaître votre mot de passe. Selon Microsoft, cet accès peut même persister après un changement de mot de passe si les sessions ne sont pas révoquées.

Pourquoi les PME sont directement visées

Selon le rapport technique de Microsoft, les victimes d’EvilTokens se trouvaient notamment dans la distribution en gros, la construction, les services financiers, l’immobilier, l’enseignement supérieur et la santé. Ce sont des secteurs où l’on trouve beaucoup de PME québécoises.

L’objectif n’est pas l’espionnage, mais l’argent. Une fois dans une boîte courriel, EvilTokens utilisait l’intelligence artificielle pour repérer les virements, les factures en attente et les personnes qui autorisent les paiements, puis pour rédiger de faux messages imitant des contacts de confiance. Les fraudeurs créaient aussi des règles de boîte de réception pour cacher leurs échanges. C’est la recette classique de la fraude par courriel d’affaires (le « changement de coordonnées bancaires » d’un fournisseur). Microsoft a pu relier au moins 13 plaintes déposées au FBI à environ 1,7 million de dollars américains de pertes, une estimation qu’il juge prudente, selon CyberScoop.

Et le démantèlement ne règle pas tout. Une semaine plus tôt, la firme canadienne eSentire a décrit une autre trousse, GhostCode, qui commence par… le formulaire de contact de votre site Web. Un faux responsable des achats écrit à l’équipe des ventes, puis envoie une « entente de confidentialité à signer » par WeTransfer. Le fichier mène à la fameuse demande de code. Dans le cas analysé, les fraudeurs ont enregistré trois appareils dans le compte de la victime en 78 secondes, dont un qui est resté en place même après la révocation de l’accès volé, rapporte Computerworld.

6 mesures concrètes pour votre PME

1. Bloquez la connexion par code d’appareil si vous n’en avez pas besoin. Microsoft recommande de la bloquer partout où c’est possible, avec une stratégie d’accès conditionnel. La plupart des PME n’en ont aucun besoin, sauf parfois pour des appareils de salle Teams, qu’on peut exclure. L’accès conditionnel exige Microsoft Entra ID P1, inclus dans Microsoft 365 Business Premium. Si vous ne savez pas ce que vous avez, demandez à votre fournisseur TI.
2. Donnez une règle simple à votre équipe. « On n’entre jamais un code de connexion Microsoft que quelqu’un nous a envoyé par courriel, texto ou Teams. » Un vrai fournisseur n’a pas besoin de ça pour vous partager une facture. La page de Microsoft indique d’ailleurs que vous vous connectez « sur un autre appareil » : c’est le signal d’alarme.
3. Méfiez-vous des demandes qui arrivent par votre formulaire de contact et qui mènent rapidement à un document protégé par mot de passe ou à une « entente à signer ».
4. Vérifiez tout changement de paiement par un deuxième moyen. Microsoft le recommande explicitement : si un fournisseur change ses coordonnées bancaires, appelez-le à un numéro que vous connaissez déjà, pas celui du courriel.
5. Surveillez les signes d’intrusion : nouvelles règles de boîte de réception qui déplacent ou suppriment des messages, appareils inconnus dans Microsoft Entra, nouvelles méthodes d’AMF ajoutées, connexions inhabituelles.
6. Si quelqu’un a entré un code, agissez vite. Désactivez temporairement le compte, révoquez les sessions, supprimez les appareils inconnus, vérifiez les règles de boîte de réception et changez le mot de passe. Signalez l’incident au Centre canadien pour la cybersécurité et, en cas de fraude, au Centre antifraude du Canada. Si des renseignements personnels ont pu être consultés, la Loi 25 s’applique : documentez l’incident et évaluez le risque de préjudice, comme l’explique la Commission d’accès à l’information.

Pour aider votre équipe à reconnaître les courriels piégés, le Centre canadien pour la cybersécurité offre aussi un guide simple : Reconnaître les courriels malveillants.

Chez NeoTech Cloud Solutions, on configure et on sécurise Microsoft 365 pour les PME du Grand Montréal, à distance, en français et en anglais. Voir nos services Microsoft 365 et nos services de cybersécurité.

Réservez votre bilan cyber gratuit

Est-ce que la connexion par code d’appareil est ouverte dans votre Microsoft 365? Vos règles d’accès et votre AMF sont-elles bien configurées? En une courte rencontre, on fait le tour avec vous et vous repartez avec une liste claire de priorités. Sans jargon et sans engagement.

👉 Réservez votre bilan cyber gratuit

Vous préférez nous parler directement? Appelez-nous au 438-476-2322 ou écrivez-nous à info@neotechcloudsolutions.com.

Sources

• Microsoft On the Issues : démantèlement d’EvilTokens (22 septembre 2026, en anglais)
• Microsoft Threat Intelligence : analyse technique d’EvilTokens et de l’hameçonnage par code d’appareil (22 septembre 2026, en anglais)
• CyberScoop : Microsoft et ses partenaires démantèlent EvilTokens (22 septembre 2026, en anglais)
• SecurityWeek : la plateforme EvilTokens perturbée par Microsoft (23 septembre 2026, en anglais)
• eSentire : analyse de la trousse GhostCode (15 septembre 2026, en anglais)
• Computerworld : GhostCode détourne des comptes Microsoft 365 (18 septembre 2026, en anglais)
• Microsoft Learn : bloquer les flux d’authentification avec l’accès conditionnel
• Centre canadien pour la cybersécurité : Reconnaître les courriels malveillants (ITSAP.00.100)