Vous cliquez sur un lien dans un courriel ou un message Teams. Rien ne semble anormal. Puis, une page de connexion Microsoft s'affiche. Le piège : le contenu malveillant peut rester caché jusqu'à ce que votre navigateur l'affiche — c'est ce qu'on appelle le ghost phishing.
Pourquoi un lien peut avoir l'air inoffensif
Les filtres de sécurité analysent souvent les liens avant qu'ils n'arrivent dans votre boîte. Certaines campagnes, comme celles liées à la technique EvilTokens, contournent cette vérification : le code dangereux n'apparaît qu'une fois la page déchiffrée et rendue dans le navigateur. Résultat : le lien passe les contrôles initiaux, mais devient piégeux au moment où vous l'ouvrez.
« Je n'ai pas entré mon mot de passe » ne veut pas toujours dire « je suis en sécurité »
Les attaques modernes contre Microsoft 365 n'ont pas toujours besoin de voler votre mot de passe directement. Le Device Code Phishing pousse la victime à entrer un code ou à approuver une connexion sur son téléphone — comme lors d'une authentification normale. Si vous approuvez sans réfléchir, l'attaquant obtient l'accès à votre compte sans jamais connaître votre mot de passe.
Les signes à surveiller
- Une demande de connexion Microsoft alors que vous n'avez rien lancé.
- Un code à entrer sur un site web inconnu.
- Une notification sur votre téléphone demandant d'approuver une connexion inattendue.
- Un courriel urgent qui insiste pour « vérifier votre compte » immédiatement.
Quoi faire en cas de doute
Fermez la page sans cliquer davantage. N'approuvez pas la connexion sur votre téléphone. Si vous êtes au travail ou à l'école, signalez le courriel à l'équipe TI. Si vous avez déjà approuvé une connexion, changez votre mot de passe et vérifiez les sessions actives dans les paramètres de votre compte Microsoft.
Le ghost phishing montre une chose : la vigilance ne s'arrête pas au moment du clic. Elle continue jusqu'à la dernière étape — surtout quand une application vous demande d'autoriser quelque chose.