Passkeys et phishing : la faille des faux enrôlements
Les passkeys offrent une sécurité renforcée, mais elles peuvent être contournées par des techniques de phishing avancées comme le vishing.
Les passkeys ne rendent pas les comptes cloud invulnérables au phishing. Elles bloquent surtout la capture classique d’un mot de passe sur un faux site, mais elles peuvent encore être détournées par le vishing et par de fausses étapes d’enrôlement.
Ce que les attaquants cherchent vraiment
Le scénario est simple. Un faux support appelle l’utilisateur et prétend lancer une “mise à jour de sécurité”. L’objectif n’est pas de casser la cryptographie. Il s’agit de pousser la victime à enregistrer une nouvelle clé d’authentification dans son compte Microsoft 365.
Dans cette campagne observée depuis avril 2026, le groupe suivi sous le nom O-UNC-066, aussi appelé “Pink”, cible des organisations de plusieurs secteurs. Les attaquants combinent appel téléphonique, site de connexion imité et enrôlement frauduleux de passkey pour obtenir un accès durable.
La faille humaine reste le point d’entrée. La passkey elle-même n’est pas volée comme un mot de passe. C’est l’utilisateur qui est amené à valider une inscription malveillante sur un compte déjà compromis ou sous pression.
Pourquoi une passkey peut quand même être détournée
Une passkey protège bien contre le faux formulaire de connexion classique. En revanche, elle ne protège pas contre une procédure d’enrôlement trompeuse. Si l’attaquant pousse une victime à valider une nouvelle méthode d’authentification sur le portail légitime, il obtient une clé liée au vrai compte.
Les chercheurs rappellent aussi une limite connue des passkeys synchronisées dans le cloud. La résistance au phishing dépend du contexte d’usage, du terminal et du flux d’authentification. Une attaque peut viser le compte cloud lui-même, ou manipuler l’interface pour faire croire à une action normale.
Autrement dit, la promesse “anti-phishing” reste vraie face au vol direct d’identifiants. Elle devient beaucoup moins rassurante face à une arnaque sociale bien construite. C’est exactement le terrain du vishing.
Les signaux d’alerte à repérer tout de suite
Un appel qui presse, un ton d’urgence, un “dernier rappel”, ce sont des drapeaux rouges. Un vrai service informatique laisse une trace claire. Il ouvre un ticket. Il documente la demande. Il ne force pas un enrôlement à chaud au téléphone.
Autre indice concret : le lien envoyé par SMS, chat ou e-mail pour “finaliser” une passkey. Si le domaine a l’air proche du vrai, mais pas exact, il faut couper court. Le faux portail sert souvent à récolter les identifiants avant l’inscription de la clé pirate.
Je conseille aussi de vérifier les demandes qui arrivent en dehors des habitudes internes. Une connexion demandée à 7 h du matin, un enregistrement imposé “immédiatement”, ou un changement demandé sans ticket, ce sont des signaux sérieux de fraude.
Les bons réflexes à appliquer côté utilisateur
Ne validez jamais une nouvelle méthode de connexion sur simple appel téléphonique. Même si la personne dit parler au nom du support. Si le doute existe, raccrochez et rappelez via le canal officiel interne.
Vérifiez ensuite le portail de sécurité du compte. Pour un compte Microsoft 365, la page de gestion des méthodes de connexion permet de voir les passkeys enregistrées, leur date d’ajout et l’appareil associé. Toute méthode inconnue doit être retirée sans attendre.
Si vous êtes déjà en train de configurer une passkey, prenez une seconde pour lire l’écran. Le nom du service, le domaine affiché et le contexte doivent correspondre exactement à votre organisation. Le moindre écart mérite un arrêt immédiat.
Le bon réflexe, c’est la lenteur. Une vraie inscription prend quelques secondes de plus. Une fraude cherche toujours à vous faire aller vite.
Ce que l’administrateur doit verrouiller
Du côté entreprise, la première mesure consiste à restreindre l’enrôlement des passkeys aux appareils gérés. Les politiques d’accès conditionnel et la gestion des terminaux réduisent fortement la surface d’attaque.
Il faut aussi auditer régulièrement les méthodes d’authentification enregistrées. Dans le cas signalé récemment, les équipes sécurité recommandent de rechercher les inscriptions apparues depuis avril 2026, puis de supprimer toute clé inconnue avant de révoquer les sessions actives.
La formation compte autant que la technique. Les utilisateurs doivent savoir qu’un helpdesk légitime n’impose jamais l’ajout d’une passkey par téléphone. Cette règle doit être répétée noir sur blanc.
Enfin, les flux de secours doivent être limités. Les solutions qui retombent trop facilement sur un SMS, un code e-mail ou une validation peu robuste redonnent une porte d’entrée au fraudeur.
Que faire si vous suspectez une inscription frauduleuse ?
Commencez par supprimer la méthode inconnue dans les paramètres de sécurité du compte. Ensuite, révoquez toutes les sessions actives. Changez le mot de passe, puis vérifiez les règles de transfert mail et les appareils connectés. L’ordre compte.
Je vous recommande aussi de contrôler les journaux d’activité du compte cloud, surtout si l’entreprise utilise Microsoft 365. Une connexion inhabituelle suivie d’un ajout de passkey est un indice fort d’intrusion.
Si le compte sert à travailler, alertez immédiatement l’équipe informatique ou le prestataire. Plus la réponse est rapide, plus on limite les dégâts. Un accès persistant peut servir à lire les mails, détourner des paiements ou relancer d’autres fraudes.
Le bon niveau de protection en 2026
Les passkeys restent une avancée nette pour la cybersécurité. Elles réduisent très fortement le risque de phishing classique. Mais elles ne remplacent ni la vigilance, ni des règles d’enrôlement strictes, ni un contrôle des terminaux.
Pour un particulier, le plus utile est de garder une discipline simple : pas d’ajout de passkey sous pression, pas de clic sur un lien de “sécurité urgente”, et vérification régulière des méthodes enregistrées. Pour une entreprise, il faut ajouter le blocage des enrôlements non autorisés et des audits de compte.
Si vous gérez un parc Microsoft 365 ou un poste de travail en télémaintenance, je peux le dire clairement : un bon déploiement de passkeys se prépare comme une migration critique. On sécurise d’abord les accès, puis on forme les utilisateurs, puis on surveille les journaux. C’est cette séquence qui évite de transformer une protection moderne en nouvelle porte d’entrée. Consultez aussi la documentation Microsoft sur l’authentification sans mot de passe et la documentation sur les méthodes de vérification pour cadrer vos procédures internes.
Avant tout ajout de passkey, gardez ce réflexe en tête : vérifier le canal, vérifier le domaine, vérifier le ticket. Si l’un des trois manque, vous stoppez l’opération.
