Un groupe de menaces nouvellement identifié, connu sous le nom de PREY-0058, cible les comptes Microsoft 365 d'entreprises via une combinaison d'ingénierie sociale à l'ancienne et de vol de jetons moderne. Selon des recherches rapportées par The Hacker News, le groupe utilise des appels de vishing (voix phishing) auprès des services d'assistance, combinés à un vol de jetons de session par adversaire au milieu (AitM), pour pénétrer dans Microsoft 365 et d'autres plateformes SaaS, puis faire chanter les victimes avec les données volées. Cette campagne rappelle que même une authentification multifacteur (MFA) bien configurée peut être vaincue lorsque les attaquants ciblent les humains et les processus qui l'entourent plutôt que l'écran de connexion lui-même.
Qu'est-ce que PREY-0058 et comment fonctionne l'arnaque au service d'assistance
PREY-0058 est la désignation donnée à ce groupe d'attaques, et sa méthode repose sur l'usurpation du support informatique. Plutôt que d'envoyer un e-mail de phishing en espérant que quelqu'un clique sur un lien, les attaquants passent des appels téléphoniques aux employés, aux cadres ou aux services d'assistance informatique, se faisant passer pour du personnel de support technique légitime. C'est du vishing : une ingénierie sociale basée sur la voix conçue pour instaurer rapidement la confiance et pousser la cible à agir avant qu'elle ne pense à vérifier à qui elle parle réellement.
L'objectif de ces appels est généralement de convaincre une cible de réinitialiser un mot de passe, d'approuver une invite de connexion ou de fournir un code à usage unique. Comme la demande semble provenir d'une ressource informatique interne, elle contourne l'instinct que de nombreux employés ont développé face aux e-mails suspects. Le vishing exploite une lacune que les outils de sécurité des e-mails ne peuvent pas combler : un appel téléphonique semble personnel et urgent d'une manière qu'un message dans une boîte de réception n'est pas.
Comment les attaques adversaires au milieu contournent la MFA
Ce qui rend PREY-0058 particulièrement efficace, c'est la seconde moitié de son manuel : le vol de jetons par adversaire au milieu. Dans une attaque AitM, l'acteur menaçant ne se contente pas de voler un nom d'utilisateur et un mot de passe. Au lieu de cela, il s'insère entre la victime et le véritable service de connexion, souvent en utilisant une page d'authentification factice convaincante. Lorsque la victime se connecte et effectue son étape MFA, le proxy de l'attaquant capture le jeton de session résultant, la donnée qui prouve qu'un utilisateur est déjà authentifié.
Cela importe car un jeton de session volé permet à un attaquant de passer complètement l'étape de connexion. Il n'a pas besoin de deviner un mot de passe ni de tromper quelqu'un pour approuver une notification push une seconde fois. Il lui suffit de réutiliser le jeton capturé pour accéder à Microsoft 365 comme s'il était l'utilisateur légitime, MFA comprise. C'est une technique déjà utilisée contre les environnements Microsoft 365, mais son association à un appel de vishing en direct pour obtenir l'accès initial ou réinitialiser les identifiants ajoute une couche de manipulation humaine que les défenses techniques seules ont du mal à détecter.
Qui est ciblé et quelles données sont en jeu
Les rapports sur PREY-0058 indiquent que la campagne se concentre sur le vol de données depuis Microsoft 365 et d'autres services SaaS, avec pour objectif final l'extorsion plutôt qu'une simple prise de contrôle de compte pour du spam ou de la fraude. Ce schéma — obtenir un accès, exfiltrer des fichiers ou communications sensibles, puis exiger un paiement pour empêcher leur divulgation — reflète une évolution plus large de la cybercriminalité vers le vol de données et l'extorsion plutôt que le chiffrement par ransomware traditionnel. Les cadres et autres employés à haute valeur semblent être une cible particulière, probablement parce que leurs boîtes mail et leurs stockages cloud contiennent le type d'informations sensibles financières, juridiques ou stratégiques qui constituent un levier efficace dans une tentative d'extorsion.
Cela s'inscrit dans une tendance plus large documentée dans l'industrie : l'ingénierie sociale, de plus en plus renforcée par des tactiques d'usurpation convaincantes, dépasse les défenses existantes de nombreuses organisations. Une récente enquête sur le phishing IA et les deepfakes a révélé qu'une majorité de dirigeants d'entreprise se sentent confiants dans leur posture de sécurité, même si les attaques d'usurpation vocales et assistées par IA continuent de réussir. PREY-0058 est un exemple concret de cet écart entre confiance et préparation.
Ce que cela signifie pour vous
Si votre organisation dépend de Microsoft 365, cette campagne est un signal pour regarder au-delà de la force des mots de passe et des taux d'inscription à la MFA. Les attaquants se sont adaptés à un monde où la MFA est standard, et ils ciblent désormais les processus de vérification qui l'entourent, y compris les services d'assistance, les réinitialisations de mot de passe et les demandes de support téléphonique. Les employés, en particulier les cadres et le personnel informatique, doivent savoir qu'un appel téléphonique prétendant provenir du support interne n'est pas automatiquement digne de confiance simplement parce qu'il semble officiel.
Mesures pratiques pour protéger les comptes d'entreprise
Les organisations peuvent réduire leur exposition à des attaques comme PREY-0058 avec quelques changements concrets. Les services d'assistance doivent utiliser des procédures strictes de vérification d'identité pour toute demande de réinitialisation de mot de passe ou de réinscription à la MFA, idéalement en exigeant un rappel vers un numéro connu ou une vérification via un canal distinct préétabli plutôt que de se fier à la parole de l'appelant. Les équipes de sécurité devraient également envisager des méthodes d'authentification résistantes au phishing, comme les clés de sécurité matérielles, qui sont bien plus difficiles à intercepter par des proxys AitM que les codes à usage unique ou les approbations push. La surveillance des utilisations anormales de jetons de session, comme des connexions depuis des emplacements inattendus immédiatement après une interaction avec le service d'assistance, peut aider à détecter une intrusion avant l'exfiltration des données. Enfin, une formation régulière couvrant spécifiquement les scénarios de vishing, pas seulement le phishing par e-mail, donne aux employés un script à suivre lorsqu'un appel semble suspect.
La leçon plus large de PREY-0058 est qu'une attaque de vishing Microsoft 365 réussit en exploitant les lacunes de confiance et de processus, et non des vulnérabilités techniques de la plateforme elle-même. Alors que les attaquants continuent de mélanger ingénierie sociale et vol technique de jetons, des défenses en couches qui tiennent compte du comportement humain ne sont plus une option. Prenez quelques minutes cette semaine pour revoir la politique de vérification du service d'assistance de votre organisation et confirmez que votre équipe sait à quoi ressemble réellement une demande informatique légitime.
