Le crime aussi a droit à son SaaS
EvilTokens n'était pas un gang. C'était un produit. Une plateforme « de bout en bout » — comprenez : une boîte à outils complète, souscrite, documentée, mise à jour, qui transformait n'importe quel amateur en braqueur de comptes à l'échelle industrielle. Ciblage, génération de pages pièges, récolte des jetons d'authentification, revente. Le tout packagé, avec support client probablement plus réactif que celui de votre banque.
Le crime organisé a découvert le modèle économique de Salesforce. Personne n'a rien vu venir. Au compteur de Microsoft : 12 000 comptes compromis. Chiffre annoncé par l'entreprise elle-même, non audité, non ventilé, non daté. On prend. On n'a pas vraiment le choix.
Le MFA, ce grigri qu'on vous facture à prix d'or
EvilTokens ne cassait rien. Il volait des jetons. Et un jeton OAuth, c'est un laissez-passer porteur : il ne demande pas votre mot de passe, il ne demande pas votre code à six chiffres, il ne demande rien du tout. Il passe. Et il continue de passer après que vous avez changé votre mot de passe, par réflexe, en sueur, à 23 h.
Voilà dix ans qu'on explique aux DSI, aux PME, aux particuliers et aux ministères que le MFA est LA réponse. C'est vrai. C'est la réponse à un problème qui n'existe plus. Pendant que tout le monde sécurisait la porte d'entrée, l'industrie entière laissait des clés de service traîner sur le paillasson. Le MFA n'a rien vu passer. Il n'était pas censé voir.
« Assisté par IA » : l'étiquette qui sert tout le monde
L'IA, ici, elle rédige des pages de phishing propres, localisées, crédibles, sans faute d'accord. C'est un correcteur orthographique avec des ambitions. Ce n'est pas Skynet, c'est un stagiaire sous amphétamines.
Mais accrocher « IA » au titre arrange deux camps. Les criminels, parce que ça fait monter le prix du kit. Et Microsoft, parce que ça transforme une saisie de domaines routinière en récit d'actualité. L'IA justifie le budget, l'IA justifie les slides, l'IA justifie le prochain cycle de vente. Ne cherchez pas plus loin pourquoi le mot est dans le communiqué et pas dans le correctif.
12 000 comptes, zéro nom
Qui était derrière ces comptes ? Des entreprises du CAC 40 ? Des hôpitaux ? Des collectivités ? Des particuliers ? Silence. Les victimes sont un chiffre rond dans un paragraphe, jamais des gens. On vous annonce un carnage sans jamais vous donner la liste des morts. C'est pratique : un chiffre ne porte pas plainte, ne demande pas de dédommagement et ne fait pas de bruit sur LinkedIn.
La saisie de domaines, ou la politique de la serpillière
Démanteler EvilTokens, concrètement, c'est débrancher des serveurs et saisir des noms de domaine. Bravo. Un clone repousse en une semaine. En trois jours si les mecs sont motivés et qu'ils ont gardé le code source sur un dépôt privé. On éponge la flaque sans fermer le robinet, et on convoque la presse pour la photo.
L'infrastructure criminelle est élastique, redondante, hébergée chez des prestataires qui posent très peu de questions. Le droit, lui, avance à la vitesse d'une assignation. Devinez qui gagne à l'usure.
Qui se goinfre
Suivons l'argent. En bas : des abonnements, des affiliés payés à la performance, des hébergeurs « bulletproof » qui facturent la discrétion au mois. En haut : les vendeurs de sécurité qui refourgueront la parade au trimestre suivant, sous un nouveau nom, dans un nouveau quadrant magique. Entre les deux : vous, avec votre mot de passe changé pour rien.
Le vol de jetons n'est pas un accident. C'est un marché. Et comme tout marché, il a ses fournisseurs, ses marges et ses clients satisfaits.
Ce qu'on ne vous dit pas
Pas de périmètre. Pas de chronologie. Pas d'explication sur la façon dont l'accès initial a été obtenu. Et surtout : aucune correction structurelle annoncée sur la durée de vie des jetons, sur leur liaison à un appareil, sur leur révocation automatique. Le trou n'a pas été bouché. Il a été déplacé un peu plus loin, hors champ.
Alors un mot pour Microsoft : saisir des domaines, c'est de la com'. Réduire la durée de vie des jetons et imposer une liaison matérielle par défaut, c'est de l'ingénierie. Un mot pour les régulateurs : vous dormez pendant que des laissez-passer sans mot de passe circulent par millions. Et un mot pour vous, lecteur : le code à six chiffres que vous tapez religieusement chaque matin ne protège plus grand-chose. Il fait joli sur la page de connexion. C'est tout ce qu'on lui demande.