[{"data":1,"prerenderedAt":622},["ShallowReactive",2],{"\u002Fblog\u002Fprevention-attaque-phishing-adfs\u002F":3,"related-\u002Fblog\u002Fprevention-attaque-phishing-adfs":597},{"id":4,"title":5,"author":6,"body":7,"category":572,"date":573,"description":574,"draft":575,"extension":576,"faqs":577,"image":587,"meta":590,"navigation":473,"path":591,"seo":592,"seoTitle":593,"showOnBlog":473,"stem":594,"updatedAt":595,"__hash__":596},"blog\u002Fblog\u002Fprevention-attaque-phishing-adfs.md","Phishing ADFS : comment les hackers volent vos identifiants Microsoft 365 (et comment protéger votre PME)","Valentin Bourgeois",{"type":8,"value":9,"toc":550},"minimark",[10,15,28,34,41,45,50,82,86,93,181,186,190,194,197,223,229,233,299,303,310,314,323,327,335,356,360,367,378,382,390,440,444,455,458,462,533,536],[11,12,14],"h2",{"id":13},"_74-des-pme-victimes-de-phishing-subissent-une-compromission-de-compte","74% des PME victimes de phishing subissent une compromission de compte",[16,17,18,19,23,24,27],"p",{},"En 2025, le phishing reste le ",[20,21,22],"strong",{},"vecteur d'attaque n°1"," contre les PME. Et les campagnes les plus dangereuses ciblent directement vos ",[20,25,26],{},"pages de connexion Microsoft 365"," via des faux sites ADFS.",[16,29,30,31],{},"Le scénario : votre comptable reçoit un email \"Mise à jour de sécurité requise\" avec le logo Microsoft. Elle clique, saisit son mot de passe et son code MFA sur une page parfaitement imitée. ",[20,32,33],{},"En 30 secondes, le hacker a accès à son email, son OneDrive, et tous les fichiers partagés de l'entreprise.",[16,35,36,37,40],{},"Ce n'est pas de la science-fiction. Nous le voyons ",[20,38,39],{},"chaque semaine"," chez les PME qui nous contactent après une compromission.",[11,42,44],{"id":43},"comment-fonctionne-le-phishing-adfs","Comment fonctionne le phishing ADFS",[46,47,49],"h3",{"id":48},"lattaque-en-4-étapes","L'attaque en 4 étapes",[51,52,53,60,66,76],"ol",{},[54,55,56,59],"li",{},[20,57,58],{},"L'email piège"," : votre collaborateur reçoit un email imitant Microsoft, l'URSSAF, DocuSign ou votre propre service IT. L'email demande de se connecter \"pour une mise à jour de sécurité\"",[54,61,62,65],{},[20,63,64],{},"La fausse page de connexion"," : le lien mène vers un site identique à votre page ADFS\u002FEntra ID. L'URL est proche (microsft-login.com, m365-auth.net...)",[54,67,68,71,72,75],{},[20,69,70],{},"Capture en temps réel"," : le collaborateur saisit son mot de passe ET son code MFA. Le site pirate transmet les identifiants ",[20,73,74],{},"en temps réel"," à Microsoft pour se connecter à sa place",[54,77,78,81],{},[20,79,80],{},"Accès total"," : le hacker est connecté au compte. Il lit les emails, télécharge les fichiers, envoie des emails en se faisant passer pour le collaborateur",[46,83,85],{"id":84},"pourquoi-le-mfa-classique-ne-suffit-pas","Pourquoi le MFA classique ne suffit pas",[16,87,88,89,92],{},"La plupart des PME pensent être protégées parce qu'elles ont activé le MFA. ",[20,90,91],{},"C'est faux."," Les attaques ADFS modernes utilisent des proxys temps réel (EvilGinx, Modlishka) qui capturent le code MFA au moment où il est saisi et l'utilisent instantanément.",[94,95,96,109],"table",{},[97,98,99],"thead",{},[100,101,102,106],"tr",{},[103,104,105],"th",{},"Type de MFA",[103,107,108],{},"Résistant au phishing ADFS ?",[110,111,112,124,133,144,157,169],"tbody",{},[100,113,114,118],{},[115,116,117],"td",{},"Code SMS",[115,119,120,123],{},[20,121,122],{},"Non"," — capturé par le proxy",[100,125,126,129],{},[115,127,128],{},"Code TOTP (Authenticator)",[115,130,131,123],{},[20,132,122],{},[100,134,135,138],{},[115,136,137],{},"Notification push",[115,139,140,143],{},[20,141,142],{},"Partiellement"," — fatigue de l'utilisateur",[100,145,146,151],{},[115,147,148],{},[20,149,150],{},"Clé FIDO2 (YubiKey)",[115,152,153,156],{},[20,154,155],{},"Oui"," — liée au domaine, impossible à proxyer",[100,158,159,164],{},[115,160,161],{},[20,162,163],{},"Windows Hello",[115,165,166,168],{},[20,167,155],{}," — biométrie liée à l'appareil",[100,170,171,176],{},[115,172,173],{},[20,174,175],{},"Passkey",[115,177,178,180],{},[20,179,155],{}," — authentification sans mot de passe",[182,183],"article-button",{"link":184,"title":185},"\u002Faudit-gratuit\u002F","Vos comptes Microsoft 365 sont-ils protégés ?",[11,187,189],{"id":188},"ce-que-ça-coûte-quand-ça-arrive","Ce que ça coûte quand ça arrive",[46,191,193],{"id":192},"scénario-réel-fraude-au-virement-après-phishing","Scénario réel : fraude au virement après phishing",[16,195,196],{},"Un cabinet de conseil parisien de 15 personnes. La directrice administrative reçoit un phishing ADFS. Son compte est compromis. Le hacker :",[51,198,199,205,211,217],{},[54,200,201,204],{},[20,202,203],{},"Lit les emails"," pendant 3 semaines (sans se manifester)",[54,206,207,210],{},[20,208,209],{},"Identifie un gros virement en préparation"," (facture fournisseur de 45 000€)",[54,212,213,216],{},[20,214,215],{},"Envoie un email depuis le compte de la DA"," au service comptabilité : \"Le fournisseur a changé de RIB, voici le nouveau\"",[54,218,219,222],{},[20,220,221],{},"45 000€ virés"," sur un compte à l'étranger. Irrécupérables.",[16,224,225,228],{},[20,226,227],{},"Coût total"," : 45 000€ de virement frauduleux + 8 000€ de remédiation IT + 3 semaines de perturbation. Et la réputation auprès du fournisseur.",[46,230,232],{"id":231},"les-coûts-cachés-dune-compromission","Les coûts cachés d'une compromission",[94,234,235,245],{},[97,236,237],{},[100,238,239,242],{},[103,240,241],{},"Coût",[103,243,244],{},"Montant estimé (PME 10-50 postes)",[110,246,247,255,263,271,279,287],{},[100,248,249,252],{},[115,250,251],{},"Remédiation technique",[115,253,254],{},"5 000 - 15 000€",[100,256,257,260],{},[115,258,259],{},"Fraude au virement",[115,261,262],{},"10 000 - 100 000€",[100,264,265,268],{},[115,266,267],{},"Notification CNIL + patients\u002Fclients",[115,269,270],{},"2 000 - 5 000€",[100,272,273,276],{},[115,274,275],{},"Perte de productivité",[115,277,278],{},"5 000 - 20 000€",[100,280,281,284],{},[115,282,283],{},"Perte de réputation",[115,285,286],{},"Incalculable",[100,288,289,294],{},[115,290,291],{},[20,292,293],{},"Total",[115,295,296],{},[20,297,298],{},"22 000 - 140 000€",[11,300,302],{"id":301},"loffre-anti-phishing-complète-de-dhala","L'offre anti-phishing complète de Dhala",[16,304,305,306,309],{},"Chez Dhala, nous ne déployons pas \"un outil\". Nous mettons en place ",[20,307,308],{},"4 couches de protection"," qui se complètent :",[46,311,313],{"id":312},"couche-1-empêcher-les-emails-de-phishing-darriver","Couche 1 — Empêcher les emails de phishing d'arriver",[16,315,316,317,322],{},"Notre ",[318,319,321],"a",{"href":320},"\u002Fantispam\u002F","solution antispam"," filtre les emails avant qu'ils n'atteignent vos collaborateurs. Les liens et pièces jointes sont analysés en sandbox. Les emails imitant Microsoft, l'URSSAF ou vos partenaires sont interceptés.",[46,324,326],{"id":325},"couche-2-rendre-le-phishing-inutile-mfa-résistant","Couche 2 — Rendre le phishing inutile (MFA résistant)",[16,328,329,330,334],{},"Nous déployons des politiques d'",[318,331,333],{"href":332},"\u002Fblog\u002Facces-conditionnel-entra-id-zero-trust-pme-guide-technique\u002F","accès conditionnel Entra ID"," qui imposent :",[336,337,338,344,350],"ul",{},[54,339,340,343],{},[20,341,342],{},"MFA résistant au phishing"," (FIDO2, Windows Hello) pour les comptes sensibles",[54,345,346,349],{},[20,347,348],{},"Blocage des connexions"," depuis des pays ou appareils non autorisés",[54,351,352,355],{},[20,353,354],{},"Impossible de se connecter"," sans un appareil conforme (géré par Intune)",[46,357,359],{"id":358},"couche-3-détecter-les-compromissions-en-temps-réel","Couche 3 — Détecter les compromissions en temps réel",[16,361,316,362,366],{},[318,363,365],{"href":364},"\u002Fsoc-manage\u002F","SOC 24\u002F7"," surveille les connexions suspectes sur vos comptes Microsoft 365 :",[336,368,369,372,375],{},[54,370,371],{},"Connexion depuis un pays inhabituel → alerte + blocage automatique",[54,373,374],{},"Règles de transfert d'email créées → alerte immédiate",[54,376,377],{},"Téléchargement massif de fichiers → isolation du compte",[46,379,381],{"id":380},"couche-4-entraîner-vos-équipes","Couche 4 — Entraîner vos équipes",[16,383,384,385,389],{},"Nos ",[318,386,388],{"href":387},"\u002Fcampagne-phishing\u002F","campagnes de simulation de phishing"," testent régulièrement vos collaborateurs avec des scénarios réalistes (faux email Microsoft, faux DocuSign, faux URSSAF). Après 3 campagnes :",[94,391,392,405],{},[97,393,394],{},[100,395,396,399,402],{},[103,397,398],{},"Métrique",[103,400,401],{},"Avant Dhala",[103,403,404],{},"Après 3 campagnes",[110,406,407,418,429],{},[100,408,409,412,415],{},[115,410,411],{},"Taux de clic sur phishing",[115,413,414],{},"25-35%",[115,416,417],{},"\u003C 5%",[100,419,420,423,426],{},[115,421,422],{},"Signalement de l'email suspect",[115,424,425],{},"\u003C 10%",[115,427,428],{},"> 60%",[100,430,431,434,437],{},[115,432,433],{},"Temps de signalement",[115,435,436],{},"Jamais",[115,438,439],{},"\u003C 2 minutes",[46,441,443],{"id":442},"tarification","Tarification",[16,445,446,447,450,451,454],{},"Toute la stack anti-phishing est incluse dans notre offre ",[20,448,449],{},"Cyber Sérénité à 44€\u002Fposte\u002Fmois",". Pour une PME de 20 postes : ",[20,452,453],{},"880€\u002Fmois"," — soit le coût d'un seul virement frauduleux évité.",[182,456],{"link":184,"title":457},"Testez la résistance de vos équipes au phishing",[11,459,461],{"id":460},"checklist-anti-phishing-pour-votre-pme","Checklist anti-phishing pour votre PME",[336,463,466,479,488,497,506,515,524],{"className":464},[465],"contains-task-list",[54,467,470,475,476,478],{"className":468},[469],"task-list-item",[471,472],"input",{"disabled":473,"type":474},true,"checkbox"," ",[20,477,342],{}," déployé sur tous les comptes (FIDO2 ou Windows Hello)",[54,480,482,475,484,487],{"className":481},[469],[471,483],{"disabled":473,"type":474},[20,485,486],{},"Accès conditionnel"," configuré (blocage pays, appareils non conformes)",[54,489,491,475,493,496],{"className":490},[469],[471,492],{"disabled":473,"type":474},[20,494,495],{},"Antispam avancé"," avec analyse sandbox des liens et pièces jointes",[54,498,500,475,502,505],{"className":499},[469],[471,501],{"disabled":473,"type":474},[20,503,504],{},"SOC\u002Fsurveillance"," des connexions suspectes sur Microsoft 365",[54,507,509,475,511,514],{"className":508},[469],[471,510],{"disabled":473,"type":474},[20,512,513],{},"Formation"," anti-phishing des collaborateurs (au moins trimestrielle)",[54,516,518,475,520,523],{"className":517},[469],[471,519],{"disabled":473,"type":474},[20,521,522],{},"Politique de virement"," : double validation pour tout changement de RIB",[54,525,527,475,529,532],{"className":526},[469],[471,528],{"disabled":473,"type":474},[20,530,531],{},"Alertes"," configurées pour les règles de transfert d'email et les connexions impossibles",[534,535],"hr",{},[16,537,538],{},[539,540,541,542,545,546,549],"em",{},"Pour aller plus loin : découvrez notre ",[318,543,544],{"href":332},"guide technique sur l'accès conditionnel Entra ID"," et notre page ",[318,547,548],{"href":387},"campagne de phishing simulée",".",{"title":551,"searchDepth":552,"depth":552,"links":553},"",2,[554,555,560,564,571],{"id":13,"depth":552,"text":14},{"id":43,"depth":552,"text":44,"children":556},[557,559],{"id":48,"depth":558,"text":49},3,{"id":84,"depth":558,"text":85},{"id":188,"depth":552,"text":189,"children":561},[562,563],{"id":192,"depth":558,"text":193},{"id":231,"depth":558,"text":232},{"id":301,"depth":552,"text":302,"children":565},[566,567,568,569,570],{"id":312,"depth":558,"text":313},{"id":325,"depth":558,"text":326},{"id":358,"depth":558,"text":359},{"id":380,"depth":558,"text":381},{"id":442,"depth":558,"text":443},{"id":460,"depth":552,"text":461},"Cybersécurité","2025-02-06","Les attaques de phishing ciblant les pages ADFS de Microsoft 365 explosent en 2025. 74% des PME touchées par un phishing subissent une compromission de compte.",false,"md",[578,581,584],{"question":579,"answer":580},"Qu'est-ce qu'une attaque de phishing ADFS ?","ADFS (Active Directory Federation Services) est le service d'authentification de Microsoft utilisé par les entreprises. Les attaquants créent de fausses pages de connexion identiques à celles d'ADFS pour voler les identifiants et les codes MFA des employés. Une fois les identifiants capturés, ils accèdent à Microsoft 365, aux emails, aux fichiers OneDrive et à l'ensemble des données de l'entreprise.",{"question":582,"answer":583},"Le MFA protège-t-il contre le phishing ADFS ?","Le MFA classique (code SMS ou TOTP) ne suffit PAS contre ces attaques. Les pages de phishing ADFS capturent le code MFA en temps réel et l'utilisent immédiatement pour se connecter. Seules les méthodes MFA résistantes au phishing protègent : clés FIDO2 (YubiKey), Windows Hello, ou passkeys. Chez Dhala, nous déployons ces méthodes via les politiques d'accès conditionnel Entra ID.",{"question":585,"answer":586},"Combien coûte une compromission de compte Microsoft 365 pour une PME ?","Selon IBM (Cost of a Data Breach 2024), le coût moyen d'une compromission de compte est de 4,35 millions d'euros pour une grande entreprise. Pour une PME, c'est proportionnellement plus dévastateur : perte de données clients, fraude au virement (les hackers envoient de fausses factures depuis votre email), perte de réputation, et notification CNIL obligatoire. En moyenne, nos clients PME qui ont subi une compromission avant de nous confier leur sécurité estimaient le coût entre 15 000€ et 80 000€.",{"src":588,"alt":589},"\u002Fblog\u002Fprevention-attaque-phishing-adfs.webp","Prévention attaque phishing ADFS Microsoft — protection PME",{},"\u002Fblog\u002Fprevention-attaque-phishing-adfs",{"title":5,"description":574},"Phishing ADFS Microsoft 365 : protection PME","blog\u002Fprevention-attaque-phishing-adfs",null,"npAR_nN-qBLSc_-TpIpXLImQ-HMZKbasjOT98TCedh8",[598,606,614],{"path":599,"title":600,"description":601,"image":602,"date":605,"category":572},"\u002Fblog\u002Fpatch-tuesday-aout-2026-microsoft","Patch Tuesday août 2026 : 398 failles et un zero-day Windows exploité par la Corée du Nord","Patch Tuesday août 2026 : Microsoft corrige environ 398 vulnérabilités dont un zero-day Windows déjà utilisé pour installer un rootkit. Ce qu'une PME doit traiter en priorité.",{"src":603,"alt":604},"\u002Fblog\u002Fpatch-tuesday-aout-2026-microsoft.webp","Patch Tuesday Microsoft août 2026, correctifs de sécurité pour PME","2026-08-11",{"path":607,"title":608,"description":609,"image":610,"date":613,"category":572},"\u002Fblog\u002Fcertification-iso-27001-retour-experience","Certification ISO 27001 : ce que trois démarches clients et la nôtre nous ont appris","Ce qui bloque une certification ISO 27001 n'est presque jamais technique. Retour d'expérience sur des démarches clients et sur la nôtre.",{"src":611,"alt":612},"\u002Fblog\u002Fcertification-iso-27001-retour-experience.webp","Deux professionnels examinent un tableau de bord de conformité ISO 27001 affichant des contrôles et leurs horodatages sur l'écran d'une salle de réunion","2026-08-07",{"path":615,"title":616,"description":617,"image":618,"date":621,"category":572},"\u002Fblog\u002Fpatch-tuesday-juillet-2026-microsoft","Patch Tuesday juillet 2026 : 570 failles, 3 zero-days exploités dont une RCE SharePoint à 9.8","Patch Tuesday juillet 2026 : Microsoft corrige environ 570 vulnérabilités et 3 failles déjà exploitées, dont une RCE SharePoint notée 9.8. Ce qu'une PME doit traiter en priorité.",{"src":619,"alt":620},"\u002Fblog\u002Fpatch-tuesday-juillet-2026-microsoft.webp","Patch Tuesday Microsoft juillet 2026, correctifs de sécurité pour PME","2026-07-14",1791790467490]