Microsoft 365 : un faux « accord de confidentialité » vous fait ouvrir votre compte aux pirates sur le vrai site

Ce qui se passe

Des pirates envoient aux entreprises un e-mail qui demande d'approuver un accord de confidentialité. Le message passe les contrôles anti-usurpation habituels, car il est expédié par un vrai service d'envoi d'e-mails. Le lien mène, après un CAPTCHA et une fausse « vérification Microsoft Defender », vers une page qui vous invite à saisir votre adresse.

Ensuite, vous êtes envoyé sur le vrai site de Microsoft, où vous vous connectez et validez avec Authenticator ou Windows Hello. Tout semble normal. Mais en coulisses, les pirates avaient préparé une demande de connexion : en la validant, vous leur ouvrez votre compte Microsoft 365. Selon les chercheurs de KnowBe4, ce mélange de techniques n'avait encore jamais été observé, et même les clés de sécurité ne déclenchent pas d'alerte, puisque le site est authentique.

Les signaux d'alerte

• Un « accord de confidentialité » ou un document à approuver que vous n'attendiez pas.
• Un lien qui enchaîne CAPTCHA et page « Microsoft Defender » avant de vous demander votre adresse.
• Une demande de connexion Microsoft juste après avoir cliqué sur un lien reçu par e-mail.
• Une validation Authenticator alors que vous n'ouvriez aucune application.

Le bon réflexe

• Ne vous connectez jamais à Microsoft 365 à partir d'un lien reçu par e-mail : ouvrez vous-même Outlook ou office.com.
• Un document inattendu ? Appelez l'expéditeur avec un numéro que vous connaissez déjà.
• Faites désactiver par votre prestataire informatique la « connexion par code d'appareil » pour les salariés qui n'en ont pas besoin.
• Demandez-lui de surveiller les connexions inhabituelles sur vos comptes Microsoft 365.
• Victime ? Prévenez tout de suite votre prestataire pour couper les sessions ouvertes et changer le mot de passe, puis faites-vous aider sur Cybermalveillance.gouv.fr.

Sources : Clubic, 10/11/2026