Écran demandant un code d’appareil, avec un hameçon

L’attaque par « device code » : l’hameçonnage qui passe par la vraie page de Microsoft

Fabrice BlanchetBlog et nouveautés

Microsoft 365 · Appelez le tech

Aucun faux site, aucun mot de passe volé, et pourtant le pirate entre dans votre boîte courriel. L’hameçonnage par « device code » (code d’appareil) utilise la vraie page de connexion de Microsoft pour vous faire autoriser un intrus vous-même. Voici comment il fonctionne et comment le bloquer.

Pourquoi en parler maintenant ? Une campagne repérée en février 2026 a touché plus de 340 organisations Microsoft 365, notamment au Canada, dans la construction, l’immobilier, le droit, la santé et les services financiers. Des trousses vendues clés en main aux fraudeurs automatisent maintenant l’attaque.

D’abord, c’est quoi un « device code » ?

C’est une fonction légitime de Microsoft. Certains appareils n’ont pas de clavier ni de navigateur pratique : téléviseur de salle de réunion, console, outil en ligne de commande. L’appareil affiche un court code et vous demande d’aller sur microsoft.com/devicelogin avec votre téléphone ou votre ordinateur. Vous entrez le code, vous vous connectez normalement, et l’appareil reçoit l’accès à votre compte.

Le problème : rien ne garantit que « l’appareil » qui attend ce code soit le vôtre.

Comment l’attaque fonctionne

Pirate Victime Vrai Microsoft 1. Demande un code Code valideenviron 15 min 2. Envoie un leurre« réunion Teams »,DocuSign, message vocal Reçoit le code« entrez-le pouraccéder au document » 3. Entre le code etse connecte (MFA OK) Connexion réussiesur la vraie page 4. Jetons d’accès remis à l’appareil du pirate Courriels, fichiers,Teams… sans mot de passe
La victime fait tout « correctement » sur le vrai site de Microsoft; c’est l’appareil qui reçoit l’accès qui appartient au pirate.
  1. Le pirate démarre lui-même une connexion « device code » et obtient un code valide, généralement pour une quinzaine de minutes.
  2. Il l’envoie à sa cible sous un prétexte crédible : invitation Teams, document DocuSign ou SharePoint à consulter, message vocal, appel d’offres. Les trousses récentes affichent même le code directement sur une page piège générée à la volée.
  3. La victime va sur la vraie page Microsoft, entre le code, se connecte et approuve la MFA.
  4. Microsoft remet les jetons d’accès à l’appareil qui a demandé le code : celui du pirate. Il lit les courriels, cherche les mots « mot de passe » ou « virement », et envoie de nouveaux pièges à vos collègues depuis votre compte.

Le piège dans le piège : la MFA, même par clé d’accès, ne bloque pas cette attaque, puisque la victime s’authentifie réellement sur le site de Microsoft. Et changer le mot de passe ne suffit pas : les jetons déjà émis restent valides tant qu’on ne les révoque pas.

Comment se protéger

N’entrez jamais un code que vous n’avez pas demandé.

Un code d’appareil légitime apparaît seulement quand vous configurez un appareil devant vous : téléviseur de salle, console, outil technique. Jamais dans un courriel, un Teams ou un document.

Pour les employés

  • Méfiez-vous de toute page microsoft.com/devicelogin ou « Entrer le code » qui arrive par un lien.
  • Lisez l’écran de confirmation : Microsoft indique le nom de l’application qui demande l’accès. Si ce n’est pas ce que vous configurez, arrêtez.
  • Vous avez entré un code par erreur ? Appelez votre soutien informatique immédiatement, même tard le soir : chaque minute compte.

Pour l’administrateur Microsoft 365

  1. Bloquer le flux device code par l’accès conditionnel (Entra ID P1, inclus dans Microsoft 365 Business Premium) : Entra > Protection > Accès conditionnel > Nouvelle stratégie > Conditions > Flux d’authentification > Flux de code d’appareil > Accorder : Bloquer l’accès.
  2. Commencer en mode « rapport seulement » et consulter les journaux de connexion filtrés sur le protocole Code d’appareil pour repérer les usages légitimes (salles Teams, outils d’administration). Exclure seulement ce qui est documenté, ainsi que les comptes d’accès d’urgence.
  3. Si l’inscription d’appareils utilise ce flux, exclure le service Device Registration Service de la stratégie.
  4. Limiter qui peut inscrire des appareils dans Entra ID, et surveiller les nouvelles inscriptions inhabituelles.
  5. Activer les stratégies de risque de connexion et les alertes sur les connexions par code d’appareil.

En cas de compromission

Réinitialiser le mot de passe ne suffit pas. Il faut révoquer toutes les sessions de l’utilisateur, puis vérifier les règles de boîte courriel, les appareils inscrits et les applications autorisées :

# Microsoft Graph PowerShell
Connect-MgGraph -Scopes "User.RevokeSessions.All"
Revoke-MgUserSignInSession -UserId "utilisateur@votredomaine.com"

Sans licence Entra ID P1 ? Le blocage par accès conditionnel n’est pas disponible. La formation des employés devient alors votre principale défense. C’est souvent un bon argument pour passer à Microsoft 365 Business Premium.

Vous voulez savoir si le flux device code est bloqué dans votre Microsoft 365 ?

Appelez le tech · 1 833 444-1041

Sources