Restreindre l’authentification par code d’appareil dans Microsoft 365 : questions pour une PME québécoise

En clair : l’authentification par code d’appareil

L’authentification par code d’appareil (device-code flow) sert normalement à connecter un appareil ou une appli qui n’affiche pas facilement un navigateur complet. L’utilisateur reçoit un code court, ouvre une page Microsoft légitime, s’authentifie… et le premier appareil obtient des jetons d’accès.

Les campagnes de hameçonnage détournent ce mécanisme : l’attaquant initie la demande, envoie le code à la victime (courriel, texto, Teams, téléphone), et la victime valide le code sur la vraie page Microsoft. Résultat : l’attaquant reçoit des jetons d’accès persistants. Il n’a pas besoin de voler votre mot de passe — et un simple changement de mot de passe ne coupe pas forcément toutes les sessions déjà émises.

Pourquoi c’est d’actualité (septembre 2026)

Le 22 septembre 2026, le Canadian Cyber Security Journal a rapporté la perturbation, menée avec l’appui des tribunaux, de la plateforme EvilTokens — un service de hameçonnage qui industrialisait notamment le device-code phishing, y compris avec des éléments d’automatisation / IA. Selon les chiffres Microsoft repris par le journal, plus de 12 000 comptes dans plus de 10 000 organisations ont été touchés.

Aucun décompte spécifique au Québec n’est fourni dans cette source : nous ne l’inventons pas. Pour une PME de Mirabel, des Laurentides ou du Grand Montréal qui vit dans Microsoft 365 (courriel, Teams, SharePoint, OneDrive), le risque opérationnel est le même : un compte compromis = boîte courriel, fichiers et souvent la porte d’entrée vers d’autres systèmes.

Pourquoi la sensibilisation seule ne ferme pas la porte

La formation reste indispensable (signaux d’urgence artificielle, demandes inhabituelles, vérification hors bande). Mais si le parcours d’attaque passe par une page Microsoft authentique, le réflexe « ce n’est pas notre domaine » ne se déclenche pas. Il faut donc des contrôles techniques :

• restreindre ou bloquer le flux code d’appareil là où il n’est pas requis ;
• imposer des conditions d’accès (appareil conforme, localisation, risque) ;
• privilégier une MFA plus résistante au hameçonnage lorsque c’est réaliste pour la PME ;
• surveiller et révoquer les sessions / applications consenties suspectes.

Checklist : questions à poser à votre MSP ou responsable TI

• Device-code flow : est-il restreint ou bloqué pour les utilisateurs standards ? Qui y a encore droit, et pourquoi ?
• Conditional Access : quelles politiques sont actives (appareil joint / conforme, MFA, blocage des clients anciens) ?
• MFA : SMS uniquement, ou méthodes plus robustes (application d’authentification, clés / passkeys) pour les comptes admin et finance ?
• Alertes : qui reçoit les signaux de connexion inhabituelle, d’ajout d’appli OAuth, ou de boîte aux lettres déléguée ?
• Revue des sessions : existe-t-il une routine pour révoquer les jetons et auditer les consentements d’applications ?
• Comptes à privilèges : les comptes admin ont-ils des règles plus strictes que les utilisateurs métier ?
• Exercice : avez-vous un scénario de « compte compromis » testé (isolement, reset, communication) ?

Conditional Access : ce qu’une PME québécoise peut viser sans suringénierie

Vous n’avez pas besoin d’un centre SOC de 40 personnes pour améliorer nettement le poste. Un plan pragmatique, souvent livré par un MSP local, ressemble à ceci :

1. Inventaire : qui utilise encore le code d’appareil (salles de réunion, scripts, vieux lecteurs) ?
2. Restriction : bloquer le flux pour le grand public interne ; exceptions nominatives et documentées.
3. Politiques de base : MFA pour tous ; accès admin depuis des postes gérés ; blocage des pays non pertinents si votre réalité d’affaires le permet.
4. Durcissement progressif : exigences d’appareil conforme pour SharePoint / Exchange sur les profils à risque (finance, direction, RH).
5. Preuve : export ou capture des politiques + date de revue trimestrielle.

Les audits Microsoft 365 « produit » existent chez plusieurs fournisseurs. Notre différenciation chez Gestion TI : langage clair, présence locale à Mirabel, et un plan d’action adapté aux PME du Grand Montréal — pas une liste de 80 contrôles sans priorisation.

Signes à surveiller côté PME (sans inventer un incident)

Aucun de ces signaux ne prouve à lui seul une compromission, mais ils justifient un appel rapide à votre MSP :

• règles de transfert ou de transfert automatique apparues dans Outlook / Exchange sans demande métier ;
• applications OAuth « inconnues » autorisées sur le compte (lecture courriel, fichiers) ;
• connexions réussies depuis des lieux ou appareils inhabituels dans les journaux d’ouverture de session ;
• messages « j’ai validé un code Microsoft » rapportés par un employé après un appel ou un texto pressant.

Dans ces cas, la séquence minimale est : isoler le compte, révoquer les sessions et les applis consenties, réinitialiser les facteurs MFA, puis auditer boîte aux lettres et OneDrive / SharePoint avant de rouvrir l’accès complet.

Répartir les rôles : propriétaire, finance, TI

Sur une PME de 10 à 80 personnes, le frein n’est souvent pas le budget licence : c’est la clarté des rôles. Le propriétaire valide le niveau de risque acceptable ; la finance protège les flux de paiement ; le MSP ou le responsable TI configure Conditional Access et documente les exceptions. Sans cette répartition, le device-code flow reste « ouvert parce que personne n’a tranché ».

Utile à écrire dans un courriel d’une page à votre fournisseur : « Confirmez par écrit, d’ici 10 jours ouvrables, si le flux code d’appareil est bloqué pour les utilisateurs standards, la liste des exceptions, et la date de la dernière revue Conditional Access. »

FAQ courte

Faut-il interdire complètement le code d’appareil ?

Souvent oui pour les utilisateurs standards. Certaines exceptions légitimes existent ; elles doivent être rares, nominatives et revues.

Changer le mot de passe suffit-il après un soupçon ?

Pas nécessairement : révoquez aussi les sessions et examinez les applications consenties / règles de boîte aux lettres.

Est-ce seulement un problème « grande entreprise » ?

Non. Les chiffres rapportés concernent plus de 10 000 organisations ; les PME sur M365 sont une cible de choix parce que le courriel reste le système nerveux de l’entreprise.