Comptes et authentification
Particuliers et entreprisesPiégeage du consentement à une application
OAuth consent phishing
Une application trompeuse vous fait accepter des droits trop étendus sur vos données.
Je pense être concerné : que faire ?
Comprendre et agir
Découvrez le piège à partir d’un exemple, puis les gestes que vous pouvez faire. Vous pouvez suivre cette lecture sans connaissances en informatique.
Une situation concrète
Une application promet de classer vos documents. La connexion s’effectue sur le vrai service, mais l’écran suivant demande le droit de lire tous vos courriels et de rester autorisée. Vous acceptez pour essayer l’outil. L’application dispose désormais d’un accès qui peut survivre à la fermeture de la page.
Comment cela fonctionne
Certains services vous permettent d’autoriser une application à utiliser vos données sans lui donner votre mot de passe. Une application trompeuse peut profiter de cette fonction pour demander trop de droits. Même sur la vraie page de connexion, prenez le temps de vérifier quelle application recevra l’accès et ce qu’elle pourra faire.
- Une application est proposée
Elle promet une fonction utile.
- Vous accordez des droits
Le consentement dépasse parfois le besoin.
- L’accès continue
Il faut retirer l’autorisation inutile ou malveillante.
Les signes qui doivent attirer l’attention
- L’application demande des permissions sans rapport avec son rôle.
- L’éditeur est inconnu ou seulement ressemblant à un fournisseur attendu.
- Une invitation vous presse d’accepter un consentement global.
Si vous remarquez l’un de ces signes, vérifiez la situation. Un indice isolé ne suffit pas à prouver qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
Avant d’autoriser une application, lisez son nom, son éditeur et les données demandées. Retirez les autorisations inutiles dans les paramètres du service officiel.
Si vous êtes responsable du service ou de l’organisation
Soumettez les permissions sensibles à une validation administrative. Après un consentement frauduleux, retirez les autorisations et vérifiez l’arrêt des lectures par l’application.
Vous connecter sur le vrai service ne garantit pas que l’application à laquelle vous donnez ensuite accès est fiable.
À vous de décider
La connexion s’effectue sur la vraie page de votre messagerie. L’application proposée est-elle forcément sûre ?
Prenez un moment pour répondre et expliquer votre choix, puis ouvrez la correction.
Voir la réponse expliquée
Non. La page officielle vérifie votre identité, mais c’est vous qui accordez ensuite l’accès à l’application. Examinez à qui vous confiez vos messages et pour quel usage.
Analyser un cas technique
Ce cas s’adresse aux personnes qui développent, administrent ou analysent ces systèmes. Si vous découvrez le sujet, commencez par « Comprendre et agir ».
Étude de cas fictive
Une application conserve l’accès au courrier sans connaître le mot de passe
L’utilisateur donne à l’application app9 le droit de lire ses messages. La permission Mail.Read définit cet accès ; offline_access lui permet de demander un accès renouvelable, selon les règles du fournisseur. L’application utilise ensuite ses jetons pour lire les messages par API, sans redemander le mot de passe à chaque fois.
Il faut distinguer les permissions déléguées, exercées dans le contexte d’un utilisateur, des permissions d’application, qui peuvent avoir une portée beaucoup plus large et nécessiter une autorisation administrative. Le nom et le logo affichés ne suffisent pas à identifier l’éditeur. Examiner l’identifiant de l’application, son propriétaire, les permissions réellement accordées et l’audit des accès.
Les quarante messages renvoyés dans le cas présenté établissent un accès de l’application, à interpréter avec le périmètre des journaux disponibles. Changer le mot de passe ne constitue pas à lui seul une révocation du consentement. Il faut retirer les autorisations concernées, traiter les jetons et vérifier l’arrêt des accès. Une application interne approuvée peut demander les mêmes permissions : le contexte métier compte.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Demande de consentement
Application tierce vers Titulaire
Trace app_id app9
- Action
Permissions acceptées
Titulaire vers Fournisseur d’identité
Trace audit de l’octroi
- Réponse
Code puis jeton
Fournisseur d’identité vers Application tierce
Trace flux et ressource
- Action
Lecture des messages
Application tierce vers API métier
Trace 40 éléments retournés
- Action
Renouvellement du jeton
Application tierce vers Fournisseur d’identité
Trace refresh_token
- Réponse
Nouveau jeton
Fournisseur d’identité vers Application tierce
Trace pas de nouvelle interaction
- Refus / blocage
Vérification après retrait
Application tierce vers API métier
Trace accès à refuser
Comment repérer cette attaque
Indices à rechercher
Surveiller les nouveaux consentements, les permissions sensibles sans rapport avec la fonction annoncée et les premières lectures par une application peu connue.
Quelles informations comparer
Partir de l’identifiant immuable de l’application, relier le consentement au principal de service, puis rechercher l’utilisation dans le service de données. Le nom affiché peut imiter celui d’une application connue.
Ce que ces indices ne permettent pas de conclure
Les journaux d’annuaire ne contiennent pas toutes les requêtes Microsoft Graph. Une permission autorise une capacité ; seules les traces d’usage disponibles permettent d’en établir l’exercice.
Comment réagir
Désactiver l’application ou retirer les octrois concernés, révoquer les sessions/jetons selon les mécanismes du fournisseur et contrôler les accès persistants. Conserver les identifiants des objets supprimés et exporter les preuves avant leur disparition. Revoir la politique de consentement et le circuit d’approbation pour les permissions sensibles.
Vérifier la correction
L’équipe responsable du système peut utiliser ces contrôles dans un environnement de test autorisé. Vous pouvez lire et comprendre le cas sans effectuer ces manipulations.
- Tester qu’une application de laboratoire non approuvée ne peut obtenir les scopes sensibles sans revue.
- Après retrait, essayer l’ancien accès API et le renouvellement du jeton dans un tenant de test.
- Vérifier qu’une application métier approuvée conserve son fonctionnement et que les permissions applicatives sont auditées séparément.
À vous de raisonner
Le titulaire change son mot de passe après avoir autorisé une application à lire son courrier. Quelle vérification manque pour confirmer l’arrêt de l’accès ?
Quelle décision prendriez-vous, et sur quel indice vous appuieriez-vous ? Répondez avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Il faut retirer l’autorisation concernée, traiter les jetons selon le fournisseur, puis vérifier le refus des lectures et du renouvellement. Une permission accordée décrit une capacité ; seuls les journaux d’accès disponibles permettent de préciser ce que l’application a réellement consulté.
Consulter les détails techniques
Les extraits permettent de s’exercer à lire les traces du cas. Si vous disposez des outils et des accès nécessaires, le guide de collecte vous aide aussi à rechercher ces informations.
Lire les extraits commentés (reconstitution fictive)
Ces extraits contiennent des valeurs fictives. Certains champs correspondent à ceux des outils documentés ; d’autres réunissent plusieurs sources pour faciliter l’explication. Vos propres exports pourront donc avoir une autre forme. Lisez d’abord les explications des champs, puis repérez-les dans les extraits.
items- Nombre illustratif de résultats d’un appel dans le scénario. Ce compteur n’est pas fourni par l’événement de consentement Entra.
refresh_token- Type de mécanisme illustré, jamais valeur de jeton à exporter ou à coller dans un rapport.
Du consentement à l’accès aux messages
JSONLJeu synthétique ; l’identité de l’éditeur et le nom affiché de l’application sont des attributs différents.
{"ts":"11:00Z","event":"consent","user":"u5","app_id":"app9","grant":"delegated","scopes":["Mail.Read","offline_access"]}
{"ts":"11:01Z","event":"token","app_id":"app9","user":"u5","resource":"Microsoft Graph","flow":"authorization_code"}
{"ts":"11:02Z","event":"api","app_id":"app9","user":"u5","route":"/me/messages","status":200,"items":40}
{"ts":"12:15Z","event":"token","app_id":"app9","user":"u5","flow":"refresh_token"}Préparer une collecte dans votre environnement
Utilisez les sources disponibles dans vos outils et auxquelles vous êtes autorisé à accéder. Vous pouvez comprendre la fiche sans posséder ces outils. Vérifiez que les journaux étaient activés pendant la période étudiée. Gardez l’export original avec son fuseau horaire et sa provenance dans un espace à accès restreint. Pour l’analyse, travaillez sur une copie dont vous avez retiré les secrets.
Microsoft Entra ID — Audit logs
- Où les trouver
- Centre d’administration Entra → Entra ID → Monitoring & health → Audit logs. Filtrer les changements sur le compte ou l’application, puis ouvrir les détails de l’activité.
- Quoi relever
- Rechercher le consentement et les changements d’autorisations de l’application : identifiant applicatif, principal de service, acteur, permissions déléguées ou rôles applicatifs, résultat.
- Accès et prérequis
- Droits de lecture et rétention suffisants. Ces journaux décrivent des modifications d’annuaire ; ils ne recensent pas toutes les lectures effectuées dans une boîte mail.
Microsoft Entra ID — Sign-in logs
- Où les trouver
- Centre d’administration Entra → Entra ID → Monitoring & health → Sign-in logs. Examiner séparément les connexions interactives, non interactives et celles des applications si elles sont concernées.
- Quoi relever
- Examiner les connexions de l’application et du compte, y compris non interactives selon le flux. Ne pas confondre émission d’un jeton et utilisation effective de toutes ses permissions.
- Accès et prérequis
- Rôle de lecture adapté, par exemple Reports Reader. Vérifier la période conservée et les exports disponibles ; une session applicative n’engendre pas nécessairement une nouvelle connexion Entra.
Microsoft 365 — audit dans Microsoft Purview
- Où les trouver
- Portail Microsoft Purview → Audit : rechercher par utilisateur, période et activité, puis exporter les résultats détaillés du service concerné, par exemple Exchange ou SharePoint.
- Quoi relever
- Chercher les activités réellement couvertes sur la boîte ou les fichiers ciblés. La présence d’un consentement Mail.Read n’est pas, à elle seule, une preuve de lecture de quarante messages.
- Accès et prérequis
- Rôle d’audit requis. Les activités disponibles et la durée conservée varient selon la licence et la configuration ; vérifier la couverture avant d’interpréter une absence.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Ces cas réels montrent où ce mécanisme a été observé. Les années indiquent quand les faits ont eu lieu. Chaque notice précise la source qui les relie à un groupe ou à une campagne.
- àGroupePawn Storm
Noms et appellations : APT28 / Fancy Bear
Des messageries ciblées pour l’espionnage
Trend Micro décrit des campagnes qui cherchent à voler des identifiants, notamment dans des organisations de défense. Parmi les méthodes du groupe figurent les sites piégés et l’abus d’autorisations OAuth pour accéder aux comptes.
Ce qu’établit la source. Activités attribuées à Pawn Storm par Trend Micro. Le rapport récapitule plusieurs opérations et plusieurs méthodes ; elles ne constituent pas une seule chaîne d’attaque.
Consulter le rapport Probing Pawn Storm: Cyberespionage Campaign Through Scanning, Credential Phishing and MoreTrend Micro · Publié le
Cette sélection ne couvre pas tous les incidents. Plusieurs acteurs peuvent utiliser une même technique. Les exemples fictifs de la fiche ne décrivent les actions d’aucun de ces groupes.
Si vous pensez être concerné
- Révoquez le consentement et les jetons de l’application depuis les paramètres officiels.
- Examinez les données et actions accessibles pendant la période d’autorisation.
- En entreprise, prévenez l’administrateur pour vérifier les consentements accordés à d’autres comptes.
Pour comprendre votre situation et trouver de l’aide : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- MITRE ATT&CK — Steal Application Access Token — attack.mitre.org
- OWASP — OAuth2 — cheatsheetseries.owasp.org
- Microsoft — investigation du consentement illicite — learn.microsoft.com
- Microsoft — permissions et consentement — learn.microsoft.com
