Kratos : quand le phishing contourne votre MFA Microsoft 365

Vous avez activé la double authentification sur Microsoft 365 et vous vous sentez protégé. C'est un bon réflexe — mais ce n'est plus suffisant. La preuve : le kit de phishing Kratos, récemment démantelé par les autorités, permettait à des cybercriminels de voler les comptes Microsoft 365 de leurs victimes même lorsque le MFA (la double authentification) était activé. Des milliers d'entreprises, dont des PME, ont été ciblées. Voici ce que cela signifie concrètement pour vous et ce que vous devez faire aujourd'hui.

Kratos : un outil clé en main pour pirater vos comptes Microsoft 365

Le kit phishing Kratos était ce qu'on appelle un « phishing-as-a-service » : une boîte à outils vendue sur le dark web, prête à l'emploi, que n'importe quel criminel peu qualifié pouvait acheter et utiliser pour lancer des attaques. Sa particularité ? Il ne se contentait pas de voler un mot de passe. Il agissait comme un intermédiaire invisible entre vous et la vraie page Microsoft. Concrètement, quand une victime cliquait sur un faux lien et saisissait ses identifiants ainsi que son code MFA, Kratos interceptait tout en temps réel et se connectait immédiatement au vrai compte Microsoft 365. Résultat : le pirate récupérait un « cookie de session », c'est-à-dire un jeton numérique qui prouve que vous êtes déjà authentifié. Avec ce cookie, il accédait librement au compte, sans avoir besoin du mot de passe ni du code MFA — car techniquement, la session était déjà ouverte.

Pourquoi le MFA seul ne protège plus contre ce type d'attaque

Le MFA, ou authentification multi-facteurs, est une excellente défense contre le vol de mot de passe classique. Mais Kratos exploitait une faille de conception inhérente à tous les systèmes connectés : une fois authentifié, votre navigateur reçoit un jeton temporaire pour ne pas vous demander de vous reconnecter à chaque clic. C'est ce jeton que les pirates volaient — et non votre mot de passe. Cette technique s'appelle l'« adversary-in-the-middle » (l'attaquant au milieu). Elle est de plus en plus répandue dans les kits de phishing Microsoft 365 professionnels. Le démantèlement de Kratos est une bonne nouvelle, mais d'autres outils similaires existent et circulent déjà. Ce n'est pas une menace isolée : c'est une nouvelle norme dans les attaques contre les PME. La double authentification reste indispensable, mais elle doit aujourd'hui être combinée à d'autres mesures pour être réellement efficace.

Les conséquences concrètes pour une PME victime d'un tel piratage

Une fois dans votre compte Microsoft 365, un attaquant a accès à vos e-mails, vos contacts, votre OneDrive, vos équipes Teams et souvent à d'autres outils connectés. En pratique, cela peut signifier : usurpation de votre identité pour envoyer de faux virements à vos fournisseurs ou clients (fraude au président), vol de données confidentielles sur vos clients ou vos contrats, installation de logiciels malveillants dans votre environnement, ou encore chantage à la divulgation de données. Pour une PME, une seule intrusion de ce type peut coûter plusieurs dizaines de milliers d'euros — sans compter les pertes de confiance et les obligations légales de notification en cas de fuite de données personnelles (RGPD).

Ce que vous pouvez faire dès maintenant

1. Activez les « Politiques d'accès conditionnel » sur Microsoft 365 : cette fonctionnalité (disponible avec les licences Business Premium ou via Entra ID) permet de bloquer les connexions qui proviennent de pays inhabituels ou d'appareils non reconnus, même si le pirate possède un cookie de session valide. Demandez à votre prestataire informatique de la configurer. 2. Passez au MFA résistant au phishing : remplacez les codes SMS ou les notifications push par des clés de sécurité physiques (type YubiKey) ou par la méthode « Passwordless » de Microsoft (Windows Hello, application Authenticator avec correspondance de numéros). Ces méthodes ne peuvent pas être interceptées par un kit comme Kratos. 3. Formez vos équipes à reconnaître les faux liens Microsoft : un seul clic suffit pour déclencher l'attaque. Organisez une courte session de sensibilisation — même 30 minutes par an font une vraie différence. Montrez à vos collaborateurs comment vérifier l'adresse d'un lien avant de cliquer. 4. Surveillez les connexions suspectes sur vos comptes : dans l'interface d'administration Microsoft 365, vous pouvez consulter les journaux de connexion. Des connexions depuis un pays étranger ou un appareil inconnu sont un signal d'alarme. Activez les alertes automatiques pour être prévenu immédiatement. 5. Adoptez une sauvegarde externe de vos données Microsoft 365 : contrairement à ce que beaucoup pensent, Microsoft ne garantit pas la restauration de vos e-mails ou fichiers en cas de piratage ou de suppression malveillante. Une sauvegarde indépendante (via un outil tiers) vous protège dans tous les cas.