Mirage2FA : 48 % des cibles du phishing visant Microsoft 365 sont potentiellement compromises

Une campagne en cours depuis deux ans

Mirage2FA est décrite comme une campagne de phishing-as-a-service basée sur un kit commercial. Elle cible les comptes Microsoft 365 en abusant des flux de connexion légitimes. La cible n'est pas une version spécifique du logiciel, mais les comptes et les services liés via l'authentification unique (single sign-on). La recherche ANY.RUN, rendue publique le 25 août 2026, indique que 48 % des adresses e-mail ciblées ont été potentiellement compromises. La campagne est active depuis 2024 et se poursuit en 2026.

Les chiffres sont significatifs : 4 532 domaines e-mail d'organisations uniques sont potentiellement liés à la campagne, pour un total d'environ 4 500 entreprises, principalement américaines et européennes. Plus de 9 000 événements de compromission potentielle ont été détectés, avec vol de cookies et de mots de passe, connexion via l'authentification unique et contournement de l'authentification à deux facteurs.

Technique : adversary-in-the-middle pour voler des sessions authentifiées

Le cœur de l'attaque est la technique de l'adversary-in-the-middle (AiTM). L'attaquant s'intercale entre la victime et le service légitime Microsoft 365, en interceptant les communications. Contrairement au phishing traditionnel qui vise uniquement à voler les identifiants, l'objectif ici est la session authentifiée : les cookies de session et les jetons sont capturés en temps réel pendant que la victime interagit avec une page de connexion falsifiée mais fonctionnelle.

Le problème est que cette approche contourne l'authentification à deux facteurs. La victime saisit son mot de passe et termine la vérification MFA, mais l'attaquant intercepte le cookie de session qui en résulte. Dès lors, il peut utiliser la session déjà authentifiée sans avoir à répéter la MFA. Les failles exploitées concernent l'authentification et la gestion des sessions, pas la faiblesse d'un mot de passe individuel.

Qui est touché : les États-Unis en tête, puis l'Europe et l'Asie

La répartition géographique des victimes montre une nette prédominance des États-Unis, qui représentent 63,7 % du total. L'activité a également été observée en Inde, à Singapour, au Royaume-Uni, au Canada, en Arabie saoudite, en Afrique du Sud et dans d'autres pays. Les secteurs les plus touchés sont la technologie, l'industrie manufacturière et l'éducation.

Il ne s'agit pas d'une attaque indifférenciée : les 4 532 domaines e-mail uniques suggèrent un ciblage visant des organisations spécifiques, avec une concentration sur les entreprises américaines et européennes. La variété des secteurs et des zones géographiques indique une campagne vaste et persistante.

Conséquences : sessions volées et accès SSO

Les dégâts ne se limitent pas au vol d'identifiants. Avec des cookies de session et des mots de passe volés, les attaquants accèdent aux boîtes e-mail professionnelles, aux comptes de confiance et aux données sensibles en utilisant des sessions déjà authentifiées. L'accès via l'authentification unique étend le danger aux applications liées, aux flux de travail internes et aux services cloud intégrés à Microsoft 365.

La compromission crée des risques d'usurpation d'identité, de fraude et de nouvelles attaques internes. Une session détournée est plus difficile à détecter et à bloquer qu'une connexion suspecte avec des identifiants volés : l'utilisateur légitime semble authentifié normalement, tandis que l'attaquant opère en parallèle. Les coûts de confinement augmentent car le périmètre à assainir n'est pas un simple compte, mais chaque service SSO connecté.

Atténuations : traiter le vol de session comme un incident d'identité

Les contre-mesures exigent un changement de perspective. La première étape consiste à révoquer immédiatement les sessions et les jetons compromis et à lancer une enquête sur l'identité touchée. La réinitialisation du mot de passe seule ne suffit pas : si le cookie de session est encore valide, l'attaquant conserve l'accès même après le changement d'identifiants.

Il faut adopter une authentification résistante au phishing, qui dépasse la MFA traditionnelle basée sur des codes ou des notifications push. Des contrôles de session plus stricts sont nécessaires, comme la limitation de la durée des jetons et la surveillance des activités anormales. L'objectif est de réduire la valeur d'un cookie volé et de rendre plus difficile pour l'attaquant de réutiliser une session interceptée.

Détection : sandbox interactive et threat intelligence

Pour intercepter la campagne avant la compromission, la sandbox interactive d'ANY.RUN isole les pièces jointes et les URL suspectes et expose les étapes de l'attaque : redirections vers de fausses pages de connexion Microsoft 365, scripts, activité WebSocket. Selon l'éditeur, la plateforme détecte les menaces en 14 secondes et réduit le temps moyen de réponse (MTTR) de 21 minutes par incident.

L'enquête ne doit pas s'arrêter aux seuls indicateurs de compromission. Des loaders récurrents, des données encodées et une activité WebSocket suspecte peuvent révéler des liens avec la campagne même lorsque l'infrastructure attaquante change. Les flux de threat intelligence en temps réel fournissent des indicateurs à jour, tandis que le service Threat Intelligence Lookup permet de pivoter à partir d'URL, de domaines, d'IP et de fichiers suspects vers une infrastructure connexe, en s'appuyant sur des données provenant de plus de 16 000 organisations.