Passkeys utilisées comme backdoors : iAuthFlow V2, le phishing qui résiste au changement de mot de passe

Le paysage du phishing s'enrichit d'un nouveau kit commercial qui vise un objectif ambitieux : conserver l'accès à un compte Gmail même après que la victime a changé son mot de passe et révoqué les sessions actives. Son nom est iAuthFlow V2, et il a été observé pour la première fois sur un forum cybercriminel russophone. Son fonctionnement est décrit dans une analyse d'Abnormal Security, basée sur les publications et les démonstrations publiques du vendeur, et non sur l'exécution directe du logiciel malveillant.

Le kit est vendu comme un service de phishing à la demande : le paquet de base coûte 10 000 dollars américains, avec des modules supplémentaires achetables séparément. Un prix élevé qui suggère des acteurs motivés et disposant de ressources, et qui explique pourquoi les informations publiques sur iAuthFlow V2 restent très limitées. La caractéristique distinctive, mise en évidence par l'analyse des documents diffusés par le vendeur, est l'utilisation de passkeys pour obtenir une persistance que les contre-mesures anti-phishing standard ne parviennent pas à briser.

Le mécanisme : deux navigateurs et une passkey invisible

Le scénario reconstitué par Abnormal Security prend comme exemple un compte Gmail et se déroule en une séquence d'étapes qui mêlent phishing traditionnel et infrastructure à deux environnements.

La victime est attirée sur une page web contrôlée par l'attaquant via un message de phishing classique. Elle y saisit ses identifiants, convaincue d'accéder au service légitime. Sur le serveur de l'attaquant, cependant, un second environnement de navigation est actif, séparé mais relié à la page de phishing : c'est ce second navigateur qui interagit réellement avec Google, tandis que la victime n'interagit qu'avec la fausse page.

Les identifiants et les réponses d'authentification sont transmis au second navigateur, qui applique immédiatement une empreinte numérique au navigateur de la victime. Chaque saisie de la victime est enregistrée. À ce stade, le kit ajoute silencieusement une passkey déjà préparée et la transmet au second environnement. Google, via la page de phishing initiale, demande à la victime de terminer l'authentification : si le phishing réussit, la victime autorise sans le savoir également la passkey contrôlée par l'attaquant. Toute la séquence vise à faire en sorte que l'utilisateur, croyant protéger son compte, ajoute en réalité une méthode d'accès alternative entre les mains de l'agresseur.

Pourquoi la réinitialisation du mot de passe ne suffit pas

Normalement, après une compromission par phishing, la procédure recommandée est de changer le mot de passe et de révoquer les sessions actives. Si l'attaquant ne dispose que de cookies de session volés, ces actions suffisent à interrompre l'accès. Google précise que le changement de mot de passe révoque les mots de passe d'application et les jetons OAuth avec les portées Gmail, mais certains appareils autorisés et connexions tierces peuvent rester liés. La passkey, en revanche, n'est pas affectée.

La passkey est un identifiant enregistré sur le compte, et non un jeton dérivé du mot de passe. Le changement de mot de passe ne la supprime pas. Si l'attaquant contrôle la passkey malveillante, il peut l'utiliser ultérieurement pour se connecter en choisissant « essayer un autre moyen » lors de la connexion, sans connaître le mot de passe et sans que la révocation des sessions n'ait aucun effet. L'accès survit à la réinitialisation et à la révocation : c'est cette caractéristique qui rend iAuthFlow V2 qualitativement plus dangereux que les kits de phishing traditionnels, même en l'absence d'un score CVSS.

Limites de l'analyse et brouillard informationnel

L'analyse d'Abnormal Security ne repose pas sur l'exécution réelle du logiciel malveillant. Les chercheurs n'ont ni acheté ni exécuté iAuthFlow V2, mais ont reconstitué son fonctionnement à partir des documents publiés par le vendeur sur le forum. Cela impose une certaine prudence quant aux conclusions opérationnelles, mais le tableau technique décrit est cohérent avec les techniques connues de phishing par passkey.

Les informations publiques sur le kit sont très limitées, ce qui est cohérent avec son prix élevé et sa présumée discrétion opérationnelle. Aucun CVE associé ni indicateur de compromission spécifique n'ont été rendus publics : Abnormal Security affirme inclure des IOC et des indications de remédiation dans son analyse, mais les détails opérationnels n'ont pas été divulgués dans le compte rendu.

Le tableau est encore obscurci par la confusion des modèles de langage interrogés sur le sujet. Gemini décrit iAuthFlow V2 comme un kit/framework commercial de phishing-as-a-service vendu sur des forums underground, comme Exploit forum, mais ne mentionne pas les passkeys. Copilot fournit une réponse encore plus confuse. Cela montre qu'à l'heure actuelle, les sources fiables sont peu nombreuses et que l'analyse des chercheurs reste la référence principale.

Les risques pour les utilisateurs et les organisations

La victime de ce type d'attaque ne perd pas seulement ses identifiants : elle perd le contrôle des méthodes d'accès alternatives. L'attaquant conserve l'accès au compte même après que la victime a suivi les procédures de remédiation standard. La passkey malveillante reste enregistrée sur le compte et permet des accès futurs sans connaître le mot de passe. Les conséquences possibles sont la lecture continue des courriels, le vol de données et une compromission prolongée du compte, qui peut s'étendre sur des semaines ou des mois.

Pour les organisations, le risque est encore plus grand : se limiter à la réinitialisation du mot de passe et à la révocation des sessions peut ne pas expulser l'attaquant du compte compromis. Dans un contexte d'entreprise, un compte Gmail ou d'un autre service lié à un domaine peut devenir une porte d'entrée persistante pour l'exfiltration d'informations ou pour des attaques ultérieures contre d'autres employés.

Comment se défendre : vérifier les passkeys et les méthodes alternatives

La principale leçon de l'analyse d'Abnormal Security est que les contre-mesures traditionnelles ne suffisent plus. Le seul changement de mot de passe et la révocation des sessions n'interrompent pas un accès basé sur une passkey malveillante. Quiconque soupçonne une compromission ou souhaite sécuriser un compte doit vérifier et supprimer toute passkey ou identifiant enregistré non reconnu. Sur Gmail et d'autres services, la section dédiée aux passkeys et aux méthodes de connexion alternatives doit être contrôlée élément par élément.

Il est tout aussi important de vérifier les appareils autorisés et les connexions tierces qui pourraient rester actifs après le changement de mot de passe, car Google avertit que certains d'entre eux peuvent survivre à la réinitialisation. En général, après un incident de phishing, il faut considérer chaque méthode d'authentification enregistrée sur le compte comme potentiellement compromise et supprimer tout ce qui n'est pas reconnu avant de considérer le compte comme sûr.

Le contexte plus large, signalé récemment, montre que le phishing devient plus sophistiqué et organisé : le FBI et Google ont démantelé le service de phishing « Outsider Enterprise », plus de 500 organisations ont été touchées dans une campagne pluriannuelle, et Microsoft a averti d'une campagne sophistiquée contre des organisations américaines. iAuthFlow V2 s'inscrit dans cette tendance, transformant les passkeys d'outil de sécurité en vecteur de persistance. La défense doit en conséquence évoluer tout aussi rapidement.