Campagne d’usurpation de dirigeants et fraude ACH

Entre le 3 et le 5 août 2026, Microsoft a détecté plus d’un million d’e‑mails frauduleux envoyés via une infrastructure tierce d’envoi. Les messages se faisaient passer pour des PDG et présentaient une fausse facture ServiceNow, incitant les services comptables à déclencher des virements ACH. La génération de ces courriels s’appuie sur une IA générative qui adapte le texte aux secteurs ciblés (services informatiques, biens de consommation, immobilier, fabrication). Les acteurs ont enregistré des domaines d’apparence légitime – 

service-nowinc.com
 domainlify.net
– afin de renforcer la crédibilité du faux en‑tête et de la chaîne de réponses falsifiée.

Le scénario combine plusieurs leviers d’ingénierie sociale : usurpation de l’identité du dirigeant, marque du fournisseur, facture factice et fil de discussion contrefait. Cette superposition vise à réduire le scepticisme des destinataires, comme le souligne Microsoft Security Research. Aucun indicateur de compromission de comptes internes n’a été relevé, la fraude repose exclusivement sur le paiement indu.

Phishing orienté passkey et compromission d’identités cloud

Depuis mai 2026, une deuxième campagne exploite le concept de « passkey » pour détourner des comptes Microsoft 365. Les attaquants contactent les victimes par appel ou SMS, se faisant passer pour le support IT et les incitent à mettre à jour leur passkey, MFA ou SSO. Les victimes sont redirigées vers des sites factices reproduisant l’écran de connexion Microsoft, où un flux d’authentification de type device‑code ou AitM est déclenché. Une fois le compte compromis, les acteurs enregistrent un nouveau facteur d’authentification (souvent un numéro de téléphone) et utilisent les API Graph pour télécharger massivement des fichiers SharePoint/OneDrive et collecter les boîtes aux lettres via les API REST.

Les domaines utilisés portent explicitement le terme « passkey », par exemple : 

passkeyhelpdesk.com
 secure-passkey.com
 setupmypasskey.com
 add-passkey.com
 integratedsso.com
 oktasession.com
 syncmykey.com
 portalsetuphub.com
. La structure entreprise.malicious‑domain.com permet de personnaliser chaque URL et d’augmenter le taux de clic. Les groupes attribués à ces opérations sont UNC6671 (alias Cordial Spider, O‑UNC‑045, PREY‑0058) et les sous‑groupes Storm‑3121 et Storm‑3032, qui partagent des panneaux de collecte d’identifiants et des scripts de voix‑phishing.

Analyse technique, vecteurs de risque et limites

Les deux campagnes reposent sur une chaîne d’infrastructure partagée : enregistrement rapide de domaines, hébergement de pages factices et utilisation d’API légitimes (Graph, REST) pour masquer l’activité malveillante. L’usage d’IA générative réduit le temps de création de contenus ciblés, mais ne garantit pas la réussite du phishing, qui dépend toujours de la crédibilité perçue par la cible. Le contournement du MFA via l’ajout d’un facteur contrôlé montre que la simple présence de MFA n’est plus suffisante ; la sécurité repose désormais sur la vérification du contexte d’enregistrement du facteur (ex. : validation du numéro de téléphone).

Microsoft recommande de surveiller les anomalies de connexion (appareils non gérés, flux Graph inhabituels) et de restreindre l’enregistrement de nouveaux facteurs d’authentification aux administrateurs. L’absence de données publiques sur le taux de succès exact des attaques limite l’évaluation de l’impact réel, mais la combinaison de volume (plus d’un million d’e‑mails) et de sophistication (domains personnalisés, IA, AitM) indique un risque élevé pour les organisations qui ne segmentent pas leurs processus de paiement et n’appliquent pas de MFA contextuel.