Les passkeys ont sécurisé la connexion. Pas le cycle de vie.

Une passkey ne peut pas être hameçonnée. Cet été, les attaquants ont donc cessé d'essayer et s'en sont pris à tout ce qui l'entoure.

Depuis avril, un groupe qu'Okta suit sous le nom O-UNC-066 appelle des utilisateurs Microsoft 365, se fait passer pour le service informatique et les guide vers une fausse page d'enrôlement de passkey. Ils récupèrent le mot de passe et le code MFA par hameçonnage, se connectent en tant que la victime, puis enregistrent leur propre passkey sur le vrai portail Microsoft. Elle est authentique, résistante à l'hameçonnage, et elle appartient à l'attaquant. Secteurs technologique, santé, aviation et d'autres encore.

La seule chose qui limitait cette attaque, c'était la nécessité d'avoir un interlocuteur convaincant au bout du fil, un appel à la fois. C'est terminé depuis la semaine dernière. SpaceXAI et OpenAI ont tous deux livré de la voix en temps réel capable de cloner n'importe qui à partir d'un extrait de deux minutes. Récupérez l'appel aux résultats du PDG sur YouTube, et « un appel urgent du service informatique » devient un appel urgent du PDG, avec sa propre voix, qui compose toutes les extensions à la fois.

Les passkeys n'ont jamais sécurisé qu'un seul instant : la connexion. Elles ne disent rien des trois instants qui l'entourent : enrôler un identifiant, le synchroniser, le récupérer. La récupération est le maillon le plus faible, parce que c'est là que chaque produit conserve un raccourci : une réinitialisation par e-mail, un code par SMS, une question de sécurité, un service d'assistance qui cède sous la pression. Un appel téléphonique, désormais industrialisé, trouve ce raccourci à chaque fois.

Comment protéger concrètement la récupération face à un appel qui coûte rien, qui ne s'arrête pas et qui peut imiter n'importe qui ?

Supprimez d'abord le raccourci. Pas de réinitialisation par e-mail, pas de code par SMS, pas de question de sécurité, pas de contournement qu'un opérateur pourrait se laisser soutirer. S'il existe un moyen automatisé de revenir à l'intérieur, un centre d'appels industrialisé le trouvera. La récupération doit exiger quelque chose qu'un appelant ne peut tout simplement pas hameçonner.

Ensuite, cessez de détenir les clés que vous utiliseriez pour laisser quelqu'un revenir. Si le fournisseur peut reconstituer le coffre d'un utilisateur, celui qui compromet le fournisseur le peut aussi, et une convocation judiciaire également. Scindez le secret de récupération en deux : donnez une moitié à l'utilisateur, conservez une moitié qui ne sert à rien seule, et reconstruisez la clé sur l'appareil de l'utilisateur lui-même. Une fuite de base de données devient alors un tas de bruit, et il n'y a rien à remettre à un tribunal.

Enfin, et c'est là que les modèles vocaux sont déjoués, la vérification humaine ne peut pas être une question. « Quel est le nom de jeune fille de votre mère » indique à l'attaquant exactement ce qu'il doit aller chercher, et la réponse figurait déjà dans une fuite il y a des années. Ne demandez donc rien. Laissez l'utilisateur décider à l'avance comment il prouvera son identité, et gardez-le secret pour tous, afin que l'opérateur se contente de dire « prouvez-le » et que l'appelant doive déjà connaître la réponse : une phrase que lui seul aurait choisie, ou un objet choisi en direct parmi une source qu'il a nommée et que vous ne prononcez jamais à voix haute. Une voix clonée peut imiter n'importe quelle réponse qu'on lui souffle. Elle ne peut pas produire la bonne réponse à une question qui n'a jamais été posée.

Rien de tout cela n'est gratuit. Sans contournement, un utilisateur qui perd à la fois ses appareils et son secret est définitivement exclu : c'est le bon arbitrage pour un coffre que personne d'autre ne peut ouvrir. Et la preuve n'est aussi privée que ce que l'utilisateur en fait. Mais une récupération construite ainsi résiste exactement à l'attaque qui est aujourd'hui automatisée contre tous les autres, parce qu'il n'y a pas de raccourci à hameçonner, pas de clé à voler, et pas de question à répondre.

Voilà ce que la récupération doit être désormais. Et c'est exactement ce que nous avons fait.

Clavitor (@clavitorai) est le coffre d'identifiants conçu pour les agents d'IA, et contre eux. clavitor.ai

Sources

Okta Threat Intelligence (@okta) : « Vishing actors target Microsoft Entra passkey enrollment. » La campagne O-UNC-066 : les attaquants récupèrent par téléphone un mot de passe et un code MFA par hameçonnage, se connectent en tant que la victime, puis enregistrent leur propre passkey FIDO2 via le portail légitime Entra Security-info de Microsoft. [1]

BleepingComputer (@BleepinComputer) : « Entra passkey enrollment vishing targets Microsoft 365 users. » [2]

SpaceXAI (@SpaceXAI) : le lancement de Voice Agent Builder et de Custom Voices, une plateforme sans code d'agents vocaux IA en temps réel qui clone une voix à partir d'un extrait d'environ deux minutes. Le modèle comparable d'OpenAI est GPT Realtime 1.5. [3]

(Vérifiez que les comptes sont actifs avant publication : @okta, @BleepinComputer, @SpaceXAI.)