Microsoft décrit deux campagnes de fraude : fausses factures et accès à Microsoft 365 via des mots de passe

Microsoft a publié des analyses techniques sur deux campagnes récentes qui combinent ingénierie sociale avancée et abus d'infrastructure légitime pour décevoir les entreprises et prendre le contrôle des comptes cloud. Selon l'entreprise, les faits confirmés comprennent une vague massive de courriels frauduleux qui ont recherché des transferts bancaires par ACH et une campagne persistante d'accès à l'identité de l'entreprise au moyen d'appâts liés aux clés de passage et aux flux d'authentification. Ensuite, j'explique ce qui s'est passé, comment les tactiques techniques fonctionnent, qui sont exposés, quelles conséquences réelles peuvent être déduites et quelles mesures concrètes devraient être prises par les entreprises et les employés.

Faits vérifiés: Microsoft a signalé qu'entre le 3 et le 5 août 2026, plus d'un million de postes de fraude ont été envoyés aux départements créditeurs, utilisant la supplantation de cadres supérieurs (CEO / CFO) et demandant des factures pour un abonnement annuel présumé à ServiceNow. La société a également documenté l'activité depuis mai 2026 consistant en intrusions dans des environnements Microsoft 365 où les acteurs ont enregistré leurs propres méthodes d'authentification, effectué des téléchargements de masse via Microsoft Graph et extrait le courrier et les fichiers de SharePoint / OneDrive.

Comment fonctionne l'escroquerie de facture techniquement (campagne 1): les opérateurs enregistrent des domaines qui semblent légitimes, construisent de faux fils de courrier qui incluent des factures et des signatures de vrais dirigeants et envoient des messages par des services de livraison de courrier tiers fiables pour éviter les filtres. Microsoft indique que les messages ont été conçus pour réduire les soupçons : une combinaison de remplacement de la gestion, de marques de fournisseur et de simulation de conversations antérieures. En outre, il y a des preuves (selon Microsoft) de l'utilisation d'outils génériques IA pour produire des modèles et des textes personnalisés à grande échelle.

Comment fonctionne la campagne Passkey et Cloud Access (Campaign 2) La première phase est la recherche antérieure : collecte d'information publique sur les employés et la structure organisationnelle. Puis vient le génie social direct par téléphone ou SMS dirigé vers le numéro personnel de l'employé, lui faisant croire qu'il vient du bureau d'aide pour mettre à jour une configuration de clé de passe ou SSO. Les victimes sont redirigées vers de faux sites qui imitent l'expérience de connexion de Microsoft; par AitM (adversaire-dans-le-moyen) ou vice-code hishing flux l'acteur obtient de l'utilisateur pour autoriser l'accès ou compléter un flux qui permet à l'attaquant de se connecter sans voler le mot de passe directement. Après l'accès initial, l'acteur enregistre les méthodes MFA sous son contrôle (numéro de téléphone, application d'authentification ou jeton logiciel) pour convertir l'accès temporaire en API persistante et utiliser Microsoft Graphh API pour inventer, télécharger et exfilter des données à grande vitesse, une infrastructure IP tournante et des adresses pour échapper aux détections.

Personnes touchées: moyennes et grandes entreprises présentes aux États-Unis. Les États-Unis étaient la cible de la fraude sur facture, en particulier dans des secteurs tels que les services informatiques, les biens de consommation, l'immobilier et la fabrication discrète. Dans la campagne d'accès au cloud, les victimes sont souvent des utilisateurs ayant un rôle commercial ou technique avec accès aux ressources de Microsoft 365; la technique est attrayante pour les acteurs cherchant des comptes avec des droits pour SharePoint, OneDrive ou des boîtes aux lettres d'information sensibles.

Incidences réelles Dans le premier cas, le risque est de nature financière directe : autorisation frauduleuse des transferts d'ACH et perte de fonds. Dans le second, la menace est l'exfiltration de données, l'espionnage d'entreprise et la préparation de l'extorsion (double impact : données volées et chantage possible). De plus, la persistance par des méthodes contrôlées par le MFA rend la récupération difficile et peut permettre un mouvement latéral au sein du locataire.

Aspects encore incertains ou estimés: alors que Microsoft attribue certaines activités à des acteurs suivis tels que Storm-3121 et UNS6671 et que les notes se chevauchent avec les collectifs détectés par la communauté, la relation exacte entre les groupes partagés, les affiliés et les panneaux d'hameçonnage n'est pas entièrement confirmée publiquement. Il n'y a pas non plus un nombre public consolidé de comptes engagés dans la campagne Graphh; Microsoft décrit les modèles et les cas, mais la portée totale de l'engagement dans les organisations en dehors des incidents examinés par la société reste estimée.

Mesures techniques et organisationnelles spécifiques (ce que les entreprises devraient faire): mettre en œuvre des contrôles de paiement stricts : exiger une vérification hors bande (appel au numéro connu) pour les changements de bénéficiaire ou les approbations de paiement, exiger une double signature dans les transferts d'ACH et conserver les fonds jusqu'à la vérification. Appliquer des politiques d'authentification renforcées : bloquer l'enregistrement de nouvelles méthodes MFA sans approbation administrative, limiter l'enregistrement de téléphone par défaut comme MFA et prioriser les facteurs matériels (FIDO2 / Passkeys avec attestation). Configurer les politiques d'accès conditionnel afin de limiter où et comment MFA peut être autorisé et désactiver les méthodes d'enregistrement automatique pour les comptes privilégiés. Surveiller et corréler l'activité de Microsoft Graph : alertes actives par des modèles de découverte de masse, téléchargements soutenus ou accès à partir d'infrastructures proxy et traiter les appels Graphh de manière agrégée (comportement, pas seulement appels individuels). Utilisez des listes de verrouillage / monitoring qui imitent les fournisseurs et configurent les règles de prévention du phishing sur la passerelle de messagerie et sur Defender for Office 365. Révocer les sessions et réauthentifier les forces après la détection des changements dans les méthodes d'authentification et effectuer la rotation des pouvoirs privilégiés après les incidents.

Recommandations spécifiques pour les employés et les services financiers: ne jamais autoriser les transferts uniquement par courrier; si une facture ou une commande urgente arrive, confirmer par le canal connu (téléphone d'entreprise vérifié). Ne suivez pas les liens reçus par SMS ou les signaux urgents en annonçant « mettre à jour votre clé de passe » sans vérifier la zone informatique. Si vous recevez un appel du service d'aide qui demande le changement de MFA, raccrochez et appelez le numéro interne officiel. Une formation ciblée sur l'affichage et la vérification des signatures numériques et des en-têtes de courrier peut réduire les risques.

Ressources utiles et lecture supplémentaire: Microsoft publie l'analyse et l'atténuation sur son blog de sécurité ( Microsoft Security Blog) et les organismes publics offrent des guides pratiques sur les engagements et les stratégies de défense contre l'hameçonnage et les abus d'identité (voir, par exemple, le guide de la CISA sur le BEC https: / / www.cisa.gov / ressources-outils / business-email-compromis). Pour comprendre les risques et les bonnes pratiques sur les clés de passage, le Centre national de cybersécurité du Royaume-Uni fournit une introduction utile: https: / / www.ncsc.gov.uk / guide / passkeys-beginners-guide.

Bref, ces incidents montrent deux tendances convergentes : l'utilisation d'infrastructures légitimes et la capacité de livraison à l'échelle pour échapper aux contrôles du courrier, et la sophistication du génie social visant à briser les mécanismes d'authentification modernes. Pour réduire la probabilité et l'impact de ces campagnes, il faut un ensemble de contrôles techniques (blocages sur l'enregistrement des MFA, surveillance des graphiques, politiques de paiement strictes) et des processus humains (vérification hors bande et formation ciblée en matière d'observation et d'hameçonnage ciblé).