Le FBI, via l’IC3, a publié le 1er septembre 2026 l’avis I-090126 sur une campagne d’hameçonnage OAuth visant des personnalités depuis fin 2025. La méthode gagne en sophistication : des applications légitimes obtiennent des jetons d’accès que le simple changement de mot de passe n’annule pas.
Comment les attaquants enregistrent une application légitime et demandent des accès larges
Les acteurs malveillants créent une application auprès d’un fournisseur OAuth reconnu, souvent nommée pour ressembler à un service de stockage ou de vérification d’identité. Le formulaire d’enregistrement contient des autorisations explicites : lecture/écriture des mails, accès aux fichiers et aux contacts.
Les cibles reçoivent ensuite un lien par message direct ou courriel les invitant à « consulter » un document ou à « confirmer » une identité, pratique observée depuis la fin de 2025. Le lien mène vers une page d’autorisation authentique du fournisseur (par exemple Google ou Microsoft), rendant l’attaque difficile à distinguer d’une demande légitime.
Si la cible clique sur le bouton d’autorisation, l’application malveillante reçoit immédiatement un jeton d’accès et peut opérer comme le titulaire du compte, lire et envoyer des courriels, et exporter des fichiers.
Pourquoi changer le mot de passe n’interrompt pas l’accès : le rôle du jeton
Le point décisif de l’alerte I-090126 est technique et pratique : l’accès est lié au jeton OAuth, pas au mot de passe. Un changement de mot de passe ne révoque pas automatiquement ces jetons.
Pour couper l’intrusion, la victime doit se rendre dans les paramètres de sécurité des applications du compte et révoquer explicitement le jeton. Les services affichent ces applications sous des libellés tels que « Applications connectées » ou « Accès tiers ». Ne pas réaliser cette étape laisse l’accès actif même si le mot de passe a été modifié.
Le FBI rappelle que la technique contourne l’authentification multifacteur, puisque l’autorisation s’effectue via l’écran de consentement du fournisseur et n’exige pas d’OTP ou de clé physique pour l’acte d’octroi initial.
Cibles : personnalités, proches et contacts professionnels ciblés pour persistance
L’IC3 précise que les victimes privilégiées sont les personnalités, leurs proches et leurs contacts professionnels. Les attaquants misent sur la valeur ciblée des comptes pour maintenir un accès prolongé et récolter informations sensibles et opportunités médiatiques.
Les tactiques d’approche incluent l’usurpation d’identité d’un journaliste, d’un organisateur d’événement ou d’un collègue, et l’envoi de messages via des applications commerciales de messagerie. Le message inclut souvent un prétexte crédible : révision d’un article, vérification d’identité ou partage d’un dossier.
Une fois le jeton en poche, l’attaquant peut surveiller les échanges, exfiltrer des fichiers et persister sans déclencher d’alerte classique liée au mot de passe.
Mesures immédiates recommandées par le FBI et bonnes pratiques techniques
Le FBI conseille de vérifier régulièrement les applications tierces autorisées et révoquer tout accès suspect via les paramètres de sécurité. Les comptes Google et Microsoft proposent des pages dédiées listant les applications et les jetons actifs.
Autres recommandations pratiques : limiter les autorisations demandées lors de l’octroi, activer les alertes sur les connexions nouvelles et préférer les applications avec historique vérifiable. Les organisations doivent déployer des politiques de sécurité pour interdire l’utilisation d’applications tierces non approuvées.
Enfin, sensibiliser les personnalités et leurs équipes aux risques de liens entrants, vérifier l’origine d’une demande et confirmer via un canal distinct restent des gestes simples et efficaces.
| Fournisseur | Page de révocation | Étapes clés |
|---|---|---|
| myaccount.google.com/security | Applications connectées → Sélectionner l’app → Révoquer l’accès | |
| Microsoft | account.microsoft.com/privacy | Applications autorisées → Gérer les autorisations → Supprimer |
Les équipes techniques doivent noter que la suppression d’une application côté fournisseur invalide le jeton ; la rotation des clés et les journaux d’accès doivent être examinés pour détecter d’éventuelles exfiltrations.
