“Device code”, la nouvelle frontière du phishing : Barracuda détecte 7 millions d’attaques en quatre semaines

Le phishing par “Device code” présente des avantages par rapport au phishing traditionnel d’identifiants notamment en termes de discrétion, de persistance et de contournement des défenses.

Jeudi 23 avril 2026

Une nouvelle étude de Barracuda apporte une analyse détaillée, étape par étape, de la manière dont les attaquants exploitent l’authentification par code d’appareil dans le but d’obtenir un accès direct et autorisé à des services tels que Microsoft 365 et Entra ID. Les attaques se développent rapidement, le phishing par code d’appareil étant industrialisé via des outils de « phishing-as-a-service » comme le kit EvilTokens récemment signalé. Barracuda a détecté 7 millions d’attaques de ce type au cours des quatre dernières semaines.

L’authentification par code d’appareil permet aux utilisateurs de se connecter sur un appareil en saisissant un court code sur un autre appareil de confiance. Elle est souvent utilisée pour des appareils disposant d’interfaces limitées, comme les téléviseurs, les imprimantes ou les outils en ligne de commande (CLI). Ce type de phishing consiste à tromper les utilisateurs pour qu’ils saisissent un code de connexion légitime sur une véritable page d’authentification, autorisant involontairement l’appareil de l’attaquant au lieu du leur.

Le mode opératoire est le suivant : les pirates demandent un véritable code d’appareil à Microsoft, puis envoient aux victimes un message de phishing les incitant à saisir ce code sur une page de connexion existante, comme « microsoft.com/devicelogin ». La victime complète l’authentification, et Microsoft émet alors un jeton d’accès OAuth et un jeton de rafraîchissement, qui sont directement récupérés par le cyberattaquant.

Le phishing par code d’appareil présente plusieurs avantages par rapport à sa version traditionnelle utilisant de fausses pages de connexion :

• Utilisation de liens authentiques et donc aucune présence d’URL suspecte : le phishing classique nécessite un faux site crédible, souvent détectable par les filtres d’email. Ici, les URL officielles rendent l’activité malveillante difficile à repérer.

• Contournement de l’authentification multifacteur et des politiques d’accès : puisque la victime autorise elle-même le nouvel appareil, les attaquants obtiennent un jeton valide qui passe ces contrôles.

• Accès persistant et durable : une fois le code saisi, l’attaquant reçoit un jeton de rafraîchissement lui permettant de conserver l’accès pendant des jours ou des semaines, même si le mot de passe est modifié.

• Exploitation de la confiance des utilisateurs qui sont habitués à saisir des codes courts (6 à 8 caractères) pour associer leurs appareils.

• Mouvements plus discrets : l’attaquant peut détourner la session sans déclencher d’alerte.

Un phishing réussi permet aux attaquants d’obtenir un accès prolongé aux environnements cloud de messagerie et d’identité, sans voler de mots de passe ni déclencher les alertes de sécurité classiques.

« Ce type de phishing est désormais industrialisé dans un modèle de PhaaS (phishing-as-a-service), ce qui en fait une menace dangereuse et évolutive », explique Saravanan Mohankumar, , Manager Threat Analysis Team chez Barracuda. « Les défenses doivent s’adapter rapidement. Des contrôles de sécurité multicouches, incluant un filtrage avancé des emails, des mécanismes de protection des identités et une surveillance continue, peuvent réduire significativement les risques. En outre, l’application de contrôles stricts sur les flux d’autorisation des appareils et la sensibilisation des utilisateurs à ne saisir des codes de vérification que dans des contextes fiables peuvent empêcher la réussite de ces attaques. »

Pour plus d’informations, consultez le blog

À propos de Barracuda     

Barracuda est une entreprise de cybersécurité leader sur son marché, offrant une protection complète face aux menaces complexes. Notre plateforme fournit une protection des e-mails, des données, des applications et des réseaux, avec des solutions innovantes ainsi qu’un service managé XDR. Des centaines de milliers d’organisations et de fournisseurs de services managés (MSP) du monde entier nous font confiance pour les protéger et les accompagner, avec des solutions faciles à acquérir, déployer et utiliser. Pour plus d'informations, visitez barracuda.com.    

Barracuda Networks, Barracuda et le logo Barracuda Networks sont des marques déposées ou des marques commerciales de Barracuda Networks, Inc. aux États-Unis et dans d'autres pays.  

Contacts Presse :

Agence TEAM LEWIS    
[email protected]      

Tel : 06 17 98 29 88 / 06 18 53 06 12