Campagne AiTM « code of conduct » contre Microsoft 365: réponse RGPD

Le 4 mai 2026, Microsoft a publié une analyse d’une campagne de phishing multi‑étapes usurpant un « code of conduct » interne pour détourner des sessions Microsoft 365 via un kit adversary‑in‑the‑middle (AiTM). L’objectif: voler identifiants et jetons en direct pour contourner des facteurs d’authentification classiques. Source: Microsoft Security Blog (04/05/2026).

Les faits clés

• Vecteur: e‑mails personnalisés évoquant l’ouverture d’un « code of conduct review » avec pièce jointe prétendument dédiée.
• Technique: proxy AiTM interposé entre l’utilisateur et les portails Microsoft pour capturer identifiants et cookies/jetons en temps réel.
• Cibles: comptes Microsoft 365/Entra ID; finalités observées: prise de contrôle de boîtes aux lettres, accès SSO, scénarios BEC.
• IOCs: domaines et adresses d’expédition dédiés publiés par Microsoft dans la section « Indicators » du billet.

Cette campagne s’inscrit dans une tendance combinant vishing/AiTM et détournement de sessions cloud, avec des attaques reliées à UNC6671/BlackFile contre la finance à l’été 2026 (réf. BleepingComputer, 06/08/2026).

Cadre légal applicable

• RGPD, article 32 — sécurité du traitement: mesures techniques et organisationnelles proportionnées, dont authentification robuste et tests d’efficacité. Une MFA résistante au phishing est aujourd’hui l’« état de l’art » pour des comptes exposés à Internet. Texte: EUR‑Lex — RGPD. Pour un panorama synthétique côté conformité, voir la page RGPD.
• NIS 2, article 21 — gestion des risques cyber, incluant IAM/MFA et sécurité des communications. Texte: EUR‑Lex — NIS 2.
• Notification d’incident (LU) — alerte préliminaire sous 24 h à l’ILR via SERIMA, notification 72 h et rapport final 1 mois. Réfs.: ILR, Gouv. LU, et modèles communs UE (26/05/2026): Commission européenne. Un rappel des exigences locales figure sur notre page NIS 2 Luxembourg.

Solution technique: MFA résistante au phishing (FIDO2/WebAuthn)

Principe

• Passkeys FIDO2/WebAuthn: paire de clés (privée sur l’appareil, publique côté service); signatures liées au domain légitime — un proxy AiTM échoue à reproduire l’origine.
• Facteurs résistants: clés matérielles (USB/NFC), Secure Enclave/TPM, biométrie locale; aucun secret réutilisable.
• Politiques d’accès conditionnel: imposer FIDO2 aux rôles sensibles et administrateurs; désactiver OTP/push sur ces périmètres; exiger une « MFA strength » élevée.
• Renforcement session: token binding, réauthentification contextuelle; surveiller « MailItemsAccessed » et anomalies de session.
• Hygiène mail/DNS: DMARC/SPF/DKIM stricts; filtrage URL en temps réel.

Références: ISO/IEC 27001:2022 (A.5.17, A.8.2), NIST SP 800‑63B (AAL2/AAL3), CIS Controls (Control 6).

Bénéfices concrets

• Contre AiTM: vérification d’origine + absence de mot de passe/OTP réutilisable neutralisent le proxy transparent.
• Réduction de surface: retrait progressif des facteurs vulnérables (SMS, push « approuver ») sur unités exposées.
• Preuves: journaux d’authentification (méthode, appareil, origine) pour démontrer l’adéquation RGPD 32 et alimenter les notifications NIS 2.

Comment Luxgap déploie

• Gouvernance: politiques d’authentification et cartographie des rôles critiques; « MFA standard » vs « MFA renforcée » (FIDO2 obligatoire). Nos équipes DPO/RSSI accompagnent l’alignement RGPD/NIS 2. Pour le pilotage et la détection, voir notre offre SOC managé 24/7.
• SOC 24/7: ingestion des journaux Entra ID/Okta/M365, corrélation avec IOCs Microsoft, détection d’AiTM (agent, IP, sessions), et procédure d’alerte/notification ILR (SERIMA).
• DPO/CISO externalisés: validation des bases légales, « MFA by design » sur RH/finance, et répétition des notifications 24 h / 72 h. Plus d’info sur le mandat DPO.

Processus type (6–8 semaines)

1. Audit des méthodes d’authentification et des périmètres critiques.
2. Pilote FIDO2 sur un département à haut risque.
3. Migration progressive des comptes et administrateurs.
4. Durcissement des accès conditionnels.
5. Onboarding SIEM/SOC et scénarios AiTM.
6. Exercice « table‑top » de notification ILR (24 h).

Cas client (UE/Luxembourg)

Une fiduciaire NIS 2 traitant des données salariales a migré 220 comptes « finance/RH » et 35 administrateurs vers des passkeys FIDO2, avec blocage OTP/push pour ces rôles. En 7 semaines: −93 % de tentatives de connexion vers des domaines malveillants via la passerelle; aucun contournement AiTM lors de deux campagnes ciblées; et un dossier de preuves RGPD 32/NIS 2 prêt (journaux, politiques, matrice de contrôle).

Premiers pas

• Inventorier les méthodes MFA par population; prioriser RH/finance/achats et administrateurs.
• Activer des politiques « MFA renforcée » imposant FIDO2 et désactiver OTP/push sur les rôles sensibles.
• Durcir la passerelle e‑mail (DMARC/SPF/DKIM, blocage d’URL) et ajouter les IOCs publiés par Microsoft à vos listes de blocage.
• Surveiller les signaux AiTM: IP résidentielles, rafraîchissements anormaux, « MailItemsAccessed » atypiques. Un accompagnement opérationnel est détaillé sur notre offre détection d’incident 24/7.
• Tester la chaîne de notification ILR via SERIMA; pour le contexte local, se référer à NIS 2 Luxembourg et ILR.

Sources officielles

• Campagne AiTM « code of conduct » et IOCs: Microsoft Security Blog (04/05/2026)
• Tendances vishing/AiTM contre la finance (été 2026): BleepingComputer (06/08/2026)
• RGPD — article 32 « sécurité du traitement »: EUR‑Lex
• NIS 2 — article 21 « mesures de gestion des risques cyber »: EUR‑Lex
• Notification 24 h / 72 h / 1 mois — Luxembourg (SERIMA/ILR): ILR et Gouvernement du Luxembourg
• Modèles communs de notification (UE, 26/05/2026): Commission européenne

Besoin d’un échange rapide sur votre exposition et vos méthodes d’authentification ? Contactez-nous.