Vol de session MFA : ConsentFix piège Microsoft 365
Le vol de session MFA via ConsentFix met en péril la sécurité des comptes Microsoft 365 en abusant des autorisations d'application.
Vous êtes exposé à ConsentFix si un lien étrange vous ouvre Microsoft 365 sans mot de passe apparent. Cette fraude vise la sécurité des comptes en récupérant des jetons de session après une fausse autorisation d’application, ce qui peut contourner la MFA si l’utilisateur valide trop vite.
Ce que fait réellement ConsentFix
Le principe est simple, mais redoutable. L’attaque repose sur l’autorisation d’application, pas sur le vol direct du mot de passe. L’utilisateur est amené à accepter un accès OAuth trompeur, puis le navigateur transmet des informations de session exploitables par l’attaquant. Une fois le jeton de session obtenu, l’accès peut continuer sans ressaisir le mot de passe ni refaire la vérification MFA immédiate.
Le cœur du piège tient dans un lien localhost ou dans une redirection locale, présentée comme légitime. L’objectif est de pousser la victime à croire qu’elle termine une opération de connexion ou de réparation. En réalité, elle autorise un accès à son tenant Microsoft 365 ou à une application connectée.
Cette mécanique n’est pas un simple phishing classique. Ici, le mot de passe peut rester intact. Le problème vient du consentement mal compris et du transfert de confiance vers une application frauduleuse. Autrement dit, la MFA ne sert plus de filet, car la session déjà validée devient la cible.
Pourquoi la MFA ne suffit pas toujours
La MFA reste utile. Elle bloque encore beaucoup d’attaques. Mais elle ne protège pas à elle seule contre tout ce qui exploite la session déjà ouverte. Quand un attaquant récupère un cookie de session ou un jeton d’authentification, il peut parfois se faire passer pour l’utilisateur pendant toute la durée de validité de cette session.
C’est là que ConsentFix change le scénario. L’attaquant ne cherche pas forcément à casser le second facteur. Il contourne la difficulté en se plaçant après l’étape d’authentification. Le danger est donc double : vol d’accès et persistance. Une fois entré, le pirate peut lire des e-mails, lancer des règles de boîte aux lettres, ou préparer une fraude plus large.
Dans Microsoft 365, ce risque est d’autant plus sérieux que les services sont souvent liés. Un compte mail compromis peut ouvrir la porte à Teams, OneDrive, SharePoint ou à d’autres applications connectées. Pour une entreprise, la fuite devient vite transversale.
Les signes qui doivent alerter
Je vous conseille de réagir dès qu’une autorisation d’application vous semble floue. Un message qui demande un accès inhabituel, un intitulé imprécis, ou une page de consentement trop pressée doivent vous mettre en alerte. La présence d’un localhost ou d’une redirection bizarre est aussi un signal faible, mais important.
Sur le poste de travail, surveillez aussi les indices de compromission. Une connexion dans une zone géographique inattendue, une modification de règles Outlook, un transfert automatique d’e-mails, ou une nouvelle application consentie sans raison sont des signes utiles. Le tableau est encore plus suspect si vous voyez des accès à des heures incohérentes.
Le bon réflexe est de vérifier immédiatement l’activité récente du compte. Dans Microsoft 365, l’historique de connexion et la liste des applications autorisées donnent souvent les premiers indices. Si vous gérez un parc, je vous recommande de centraliser ces contrôles côté administrateur, pas seulement côté utilisateur.
Les bons gestes côté utilisateur
Si vous recevez une demande de consentement, prenez le temps de lire les autorisations. Un accès à la messagerie, au profil, aux fichiers ou à l’authentification ne doit jamais être validé à la légère. Quand le moindre doute existe, refusez.
Ensuite, passez par le chemin officiel, sans cliquer sur le lien reçu. Ouvrez le portail Microsoft 365 depuis votre favori habituel, puis vérifiez l’état de sécurité du compte. Si vous utilisez l’application Microsoft Authenticator, contrôlez les approbations récentes et retirez tout appareil que vous ne reconnaissez pas. Pour approfondir les vérifications de base, le support officiel Microsoft sur la protection des comptes reste une référence utile.
Si vous soupçonnez une compromission, changez le mot de passe depuis un appareil sain. Puis déconnectez les sessions actives. L’étape suivante consiste à révoquer les applications tierces douteuses. C’est souvent là que le vrai nettoyage commence.
Ce que l’administrateur doit verrouiller
Côté administration, la priorité est claire : réduire le risque de consentement abusif. Dans Microsoft Entra ID, limitez le consentement utilisateur aux applications vérifiées. Si possible, imposez un flux de validation admin pour les applications sensibles. Ce garde-fou évite qu’un simple clic ouvre la porte à toute l’organisation.
Je recommande aussi de surveiller les applications OAuth nouvellement enregistrées. Une appli inconnue, créée puis autorisée rapidement, mérite une enquête. Le journal d’audit et les logs de connexion doivent être consultés régulièrement. Pour la documentation de référence, la documentation Microsoft sur le consentement utilisateur explique les réglages disponibles.
Autre point clé : activez les politiques d’accès conditionnel. Elles aident à bloquer les connexions douteuses, surtout quand l’appareil, le pays ou le contexte ne correspondent pas aux habitudes habituelles. Ce n’est pas une barrière parfaite, mais c’est un excellent frein.
Gardez aussi un œil sur les jetons de session et sur la durée de vie des accès. Une session trop longue augmente la fenêtre d’exploitation. Enfin, préparez un plan de réponse rapide. En cas d’alerte, il faut pouvoir révoquer les sessions, retirer les consentements et isoler le compte en quelques minutes.
La chaîne de protection la plus solide
La bonne approche combine plusieurs couches. D’abord, une MFA résistante au phishing quand c’est possible. Ensuite, un contrôle strict des consentements applicatifs. Enfin, une surveillance active des connexions et des règles de boîte mail. Pris séparément, ces gestes aident. Ensemble, ils font vraiment la différence.
Pour la partie MFA, privilégiez des méthodes résistantes à l’hameçonnage, comme les clés de sécurité FIDO2 ou les passkeys compatibles. Microsoft documente aussi les options de sécurité avancées dans son espace d’aide, notamment pour les méthodes de connexion modernes. Vous pouvez consulter la page Microsoft sur la clé de sécurité pour voir le principe.
Sur le poste client, gardez une hygiène simple. Navigateur à jour. Extensions limitées. Pas de validation à l’aveugle. Et surtout, aucun lien de connexion reçu par message privé ne doit être traité comme fiable par défaut. C’est encore plus vrai si le message prétend “réparer” une session ou “vérifier” un accès.
Ce que je conseille en pratique
Quand un lecteur me demande quoi faire en priorité, je réponds toujours par ordre d’urgence. Premier réflexe : vérifier les sessions actives et les applications consenties. Deuxième réflexe : changer le mot de passe depuis un appareil sain. Troisième réflexe : révoquer tout accès tiers suspect et revoir les règles de transfert mail.
Si vous administrez Microsoft 365, allez plus loin. Bloquez le consentement libre quand ce n’est pas indispensable. Formez les utilisateurs à reconnaître une demande d’autorisation douteuse. Et surveillez les journaux au moins sur les comptes à privilèges. Une alerte rapide vaut mieux qu’une récupération de crise.
Consentement applicatif, jeton de session et phishing forment ici le vrai trio à comprendre. Si vous retenez une seule chose, gardez celle-ci : la MFA protège mal ce que la session a déjà validé. Le meilleur réflexe reste donc de limiter les autorisations, de vérifier les apps, puis de couper vite tout accès suspect.
Si vous voulez vérifier votre environnement tout de suite, ouvrez le portail Microsoft 365, contrôlez les applications autorisées, puis passez en revue les connexions récentes. C’est une vérification courte, mais elle peut éviter un piratage bien plus long à nettoyer.
