Hameçonnage par code d'appareil : comprendre l'attaque et bloquer le flux sans casser l'existant
Le flux de code d'appareil a été conçu pour les équipements sans clavier ni navigateur. Des campagnes documentées publiquement l'ont détourné pour obtenir des jetons valides, sans mot de passe volé et malgré la MFA. La parade existe dans l'accès conditionnel, mais elle doit être déployée avec méthode.
Comment fonctionne le flux légitime
Un appareil qui ne peut pas afficher de page de connexion (salle de réunion, outil en ligne de commande, équipement connecté) demande un code à Entra ID. L'utilisateur saisit ce code sur une page Microsoft depuis un autre appareil, s'authentifie, et l'appareil initial reçoit les jetons d'accès et d'actualisation.
Comment il est détourné
- L'attaquant lance lui-même le flux et obtient un code valable quelques minutes.
- Il l'envoie à la victime sous un prétexte crédible : invitation à une réunion, partage de document, message d'un « support ».
- La victime se rend sur la véritable page Microsoft, saisit le code et s'authentifie normalement, MFA comprise.
- Les jetons sont délivrés à la session de l'attaquant, qui peut accéder à la messagerie, aux fichiers et à Teams.
La page étant authentique, les méthodes résistantes au hameçonnage n'empêchent pas l'attaque : c'est la victime elle-même qui autorise la connexion.
Identifier d'abord les usages légitimes
Avant tout blocage, mesurez qui utilise ce flux. Dans les journaux de connexion, filtrez sur le protocole d'authentification « Device code ». Avec Log Analytics ou Microsoft Sentinel :
SigninLogs | where TimeGenerated > ago(30d) | where AuthenticationProtocol == "deviceCode" | summarize Connexions = count() by UserPrincipalName, AppDisplayName, IPAddress | sort by Connexions desc
Vérifiez le nom des colonnes selon le schéma de votre espace de travail. Les usages typiques : équipements de salles de réunion, quelques administrateurs utilisant des outils en ligne de commande, certains terminaux spécialisés.
Bloquer avec la condition « flux d'authentification »
L'accès conditionnel propose une condition « flux d'authentification » qui couvre le flux de code d'appareil et le transfert d'authentification. Démarche recommandée :
- une stratégie ciblant tous les utilisateurs et toutes les ressources, condition « flux de code d'appareil », contrôle « bloquer » ;
- une exclusion étroite pour les usages légitimes identifiés, par exemple un groupe de comptes de salles combiné à un emplacement réseau ;
- un passage en mode rapport seul pendant quelques semaines, puis l'activation.
Le transfert d'authentification, qui permet de transférer une session d'un ordinateur vers un mobile par code QR, mérite le même traitement s'il n'est pas utilisé.
En cas d'incident. Bloquer le flux n'invalide pas les jetons déjà obtenus. Si une compromission est suspectée, révoquez les sessions de l'utilisateur, examinez les règles de boîte aux lettres créées récemment et les inscriptions d'appareils ou de méthodes d'authentification.
Ce qu'un audit vérifie
- L'existence d'une stratégie bloquant le flux de code d'appareil, et son état (activée ou rapport seul).
- L'étendue et la justification des exclusions.
- Le traitement du transfert d'authentification.
- La présence d'une détection sur les connexions par code d'appareil hors périmètre autorisé.