NovaCookies : comment les pirates détournent DocuSign pour voler vos sessions Microsoft 365

L'essor du Phishing-as-a-Service et la menace NovaCookies

La cybercriminalité s'est industrialisée avec l'apparition du modèle de Phishing-as-a-Service (PaaS). Ce système permet à des attaquants, même novices, de louer des infrastructures de piratage prêtes à l'emploi. Parmi ces outils, la plateforme NovaCookies s'est fait une place de choix dans l'arsenal des cybercriminels en ciblant spécifiquement les environnements cloud d'entreprise.

Selon les analyses techniques publiées par les chercheurs en sécurité d'Island.io, l'accès à ce kit de phishing sophistiqué est commercialisé sur des forums spécialisés pour un tarif d'environ 320 dollars par mois. Pour ce prix, les acquéreurs bénéficient d'une interface simplifiée et de modèles d'attaques préconfigurés. L'objectif principal de cet outil est de contourner les protections d'accès aux messageries professionnelles.

NovaCookies ne se contente pas de voler des identifiants classiques. Il est conçu pour intercepter les éléments d'authentification active, rendant obsolètes de nombreuses mesures de sécurité traditionnelles. Cette accessibilité financière et technique explique la multiplication des campagnes d'hameçonnage ciblant les organisations de toutes tailles, des grands groupes aux structures locales.

Comment fonctionne techniquement l'attaque Adversary-in-the-Middle (AitM) ?

Pour comprendre la dangerosité de NovaCookies, il faut analyser la technique de l'Adversary-in-the-Middle (AitM). Contrairement au phishing classique qui redirige l'utilisateur vers une copie statique de site pour enregistrer un mot de passe, l'AitM déploie un serveur proxy inverse. Ce serveur s'interpose de manière invisible entre l'utilisateur légitime et le véritable service d'authentification de Microsoft 365.

Lorsque la victime saisit ses informations de connexion, le proxy de NovaCookies les transmet instantanément à Microsoft. Si le compte requiert une validation par double authentification (MFA), Microsoft envoie la demande légitime. Le proxy la relaie à l'utilisateur, qui valide la notification sur son smartphone ou saisit son code à usage unique en toute confiance.

Une fois l'authentification validée par Microsoft, le serveur officiel génère un cookie de session. C'est à cette étape cruciale que NovaCookies intervient en interceptant ce jeton d'accès avant qu'il n'atteigne le navigateur de la victime. L'attaquant copie ce cookie dans son propre navigateur, ce qui lui permet de s'introduire dans le compte sans jamais connaître le mot de passe.

Cette méthode neutralise l'efficacité des MFA classiques basés sur les SMS ou les applications d'authentification comme Microsoft Authenticator. Puisque l'utilisateur a lui-même validé la connexion, le système considère la session comme légitime. L'attaquant dispose alors d'un accès complet à la boîte mail, aux documents partagés et aux outils collaboratifs de l'entreprise.

Pourquoi l'abus de notifications DocuSign est-il si difficile à détecter ?

La force des récentes campagnes s'appuyant sur NovaCookies réside dans l'utilisation détournée de la plateforme de signature électronique DocuSign. Les attaquants n'envoient pas de faux e-mails imitant grossièrement l'éditeur. Ils utilisent de véritables comptes DocuSign, parfois créés avec des identités usurpées ou des cartes de crédit volées, pour initier des demandes de signature réelles.

Cette approche technique modifie radicalement la donne pour les outils de protection de messagerie. Les e-mails de notification proviennent des serveurs officiels de DocuSign, avec des signatures cryptographiques SPF, DKIM et DMARC parfaitement valides. Les passerelles de sécurité (antispam) analysent l'expéditeur comme légitime et laissent passer le message directement dans la boîte de réception principale de la victime.

De plus, la signature électronique est devenue un usage quotidien incontournable dans la gestion administrative des entreprises. Les collaborateurs ont l'habitude de recevoir des documents à signer rapidement, qu'il s'agisse de contrats, de devis ou de chartes internes. Ce biais de confiance, combiné à l'urgence apparente de la demande, réduit la vigilance des utilisateurs face aux anomalies.

Anatomie d'une campagne NovaCookies : le parcours de la victime

Le déroulement d'une attaque exploitant NovaCookies suit un scénario précis et hautement automatisé. Chaque étape est conçue pour maintenir l'illusion d'une procédure administrative standard afin de ne pas éveiller les soupçons de la cible. Voici les principales phases de ce processus d'intrusion :

• L'envoi de l'enveloppe officielle : L'attaquant configure un document sur DocuSign, souvent intitulé "Mise à jour salariale" ou "Rapport financier", et l'envoie à la cible.
• La redirection transparente : Lorsque la victime clique sur le bouton de signature, elle accède à l'interface DocuSign, puis est redirigée vers un lien de consultation externe contrôlé par le proxy NovaCookies.
• La fausse mire de connexion : Le proxy affiche une page imitant parfaitement l'interface de connexion Microsoft 365, pré-remplie avec l'adresse e-mail de la victime pour renforcer le réalisme.
• La validation du MFA : L'utilisateur saisit ses identifiants et valide la demande MFA légitime transmise par le proxy inverse vers les serveurs de Microsoft.
• Le vol du cookie : NovaCookies capture le cookie de session généré par Microsoft et redirige la victime vers un document neutre ou une page d'erreur pour masquer l'interception.

Une fois le cookie de session en possession des cybercriminels, ces derniers peuvent maintenir leur accès pendant plusieurs jours, voire plusieurs semaines, selon les politiques de durée de session configurées dans l'organisation. Ils en profitent généralement pour configurer des règles de transfert d'e-mails invisibles afin de surveiller les échanges financiers.

Tableau comparatif : Phishing traditionnel vs Phishing AitM (NovaCookies)

Pour mieux appréhender l'évolution de cette menace, il convient de comparer les caractéristiques techniques du phishing historique avec celles des attaques modernes basées sur des proxys inverses comme NovaCookies.

Comment se prémunir efficacement contre le vol de session cloud ?

Face à la sophistication de NovaCookies, les mesures de sécurité périmétriques classiques ne suffisent plus. Il est indispensable de faire évoluer la stratégie de défense des accès cloud en adoptant des technologies capables de résister intrinsèquement aux attaques de type proxy inverse.

La solution la plus robuste consiste à déployer une authentification résistante au phishing. Contrairement aux codes temporaires (OTP) ou aux notifications push, ces méthodes lient cryptographiquement la session de connexion au domaine réel du site web visité. Les principales technologies recommandées incluent :

• Les clés de sécurité physiques (FIDO2) : Ces dispositifs matériels (comme les YubiKeys) valident la connexion uniquement si le domaine enregistré correspond exactement au domaine officiel de Microsoft, bloquant ainsi le proxy de l'attaquant.
• Les Passkeys : Basés sur les mêmes standards cryptographiques, ils utilisent les capacités biométriques des appareils des utilisateurs (Windows Hello, Touch ID) pour sécuriser les accès de manière transparente.
• L'accès conditionnel strict : Configurer des règles dans Microsoft Entra ID pour restreindre les connexions aux seuls appareils gérés et conformes de l'entreprise, ou depuis des adresses IP publiques connues.

En complément de ces outils, les administrateurs doivent ajuster la durée de vie des cookies de session. Réduire le temps de validité des cookies de connexion et imposer des réauthentifications régulières limite la fenêtre d'opportunité pour un attaquant qui aurait réussi à intercepter un jeton d'accès.

Comment auditer les journaux d'accès Microsoft Entra ID pour détecter NovaCookies ?

La détection de l'utilisation de cookies de session volés par NovaCookies nécessite une surveillance attentive des journaux de connexion dans Microsoft Entra ID. Les attaquants utilisent souvent des serveurs situés dans des centres de données virtuels ou des réseaux de serveurs proxy pour masquer leur véritable emplacement géographique.

Lorsqu'un cookie est intercepté, l'adresse IP de l'attaquant diffère généralement de celle de l'utilisateur légitime. Les administrateurs doivent rechercher les anomalies de type "déplacement impossible" dans les logs de connexion. Par exemple, si un utilisateur se connecte depuis son bureau habituel, puis qu'une connexion avec le même compte est enregistrée deux minutes plus tard depuis un autre pays, la session doit être considérée comme compromise.

Un autre indicateur clé est la modification du User-Agent du navigateur. Si la session active change soudainement de navigateur ou de système d'exploitation sans qu'une nouvelle phase d'authentification complète n'ait été enregistrée, cela indique une possible importation de cookie de session sur une machine tierce.

Il est recommandé de mettre en place des alertes automatisées via les outils de gestion des informations et des événements de sécurité (SIEM). Ces systèmes permettent de corréler les événements de connexion et de déclencher des actions de blocage automatique dès qu'un comportement suspect est identifié, réduisant ainsi le temps de réaction face à l'intrusion.

La gestion des risques liés au détournement de session pour les organisations

Le détournement de session par des outils comme NovaCookies représente un risque opérationnel majeur pour les organisations. Contrairement au vol de mot de passe simple, l'intrusion est souvent silencieuse et peut passer inaperçue pendant plusieurs jours. Pendant cette période, les attaquants procèdent à une phase de reconnaissance minutieuse de l'environnement interne.

Les cybercriminels ciblent en priorité les comptes des services financiers, des ressources humaines ou de la direction générale. En accédant aux boîtes de réception de ces collaborateurs clés, ils peuvent intercepter des factures en attente de règlement, modifier les coordonnées bancaires (RIB) et envoyer des demandes de virement frauduleuses extrêmement convaincantes.

Pour limiter ce risque, les entreprises doivent intégrer la menace AitM dans leur cartographie des risques informatiques. Cela implique de revoir les processus de validation des paiements et de ne jamais se fier uniquement à une confirmation reçue par e-mail, même si l'expéditeur semble interne et légitime.

L'importance des simulations d'attaques AitM dans la formation des équipes

La sensibilisation classique au phishing se limite souvent à la détection de fautes d'orthographe ou d'adresses d'expéditeurs suspectes. Face à des attaques de type NovaCookies qui exploitent de véritables notifications DocuSign, ces conseils traditionnels s'avèrent insuffisants. Les programmes de formation doivent donc être mis à jour pour intégrer ces nouveaux scénarios.

Organiser des campagnes de simulation de phishing AitM permet de confronter les collaborateurs à la réalité de cette menace. Ces exercices pratiques aident à comprendre qu'une demande de connexion Microsoft 365 survenant de manière inattendue au milieu d'un processus de signature électronique doit toujours être traitée avec la plus grande méfiance.

La formation doit insister sur un principe fondamental : ne jamais saisir ses identifiants professionnels sur une page web accessible via un lien externe sans avoir préalablement vérifié l'adresse URL dans la barre de navigation du navigateur. L'apprentissage de ce réflexe simple constitue l'une des meilleures lignes de défense humaine.

Procédure d'urgence : comment réagir en cas de compromission suspectée ?

Si un collaborateur signale un comportement suspect après avoir cliqué sur un lien DocuSign, ou si des connexions anormales sont détectées dans les journaux d'audit, il faut agir immédiatement. L'attaquant utilise potentiellement le cookie volé en temps réel pour exfiltrer des données ou préparer une fraude au virement.

La première mesure consiste à révoquer instantanément toutes les sessions actives de l'utilisateur concerné. Cette action invalide le cookie de session détenu par le pirate, le déconnectant immédiatement de tous les services Microsoft 365. Cette opération peut être réalisée depuis le centre d'administration de Microsoft Entra ID ou via des scripts automatisés.

Pour les administrateurs système, l'utilisation de la console PowerShell reste la méthode la plus rapide pour couper les accès en cas de crise. Voici la séquence de commandes recommandée pour révoquer les sessions d'un compte compromis :

# Connexion à Microsoft Graph avec les privilèges requis
Connect-MgGraph -Scopes 'User.ReadWrite.All'

# Révocation immédiate de toutes les sessions actives
Revoke-MgUserSignInSession -UserId 'utilisateur@domaine.fr'

Après la révocation, il est indispensable de réinitialiser le mot de passe de l'utilisateur et d'activer une méthode d'authentification plus forte. Les administrateurs doivent également analyser les règles de boîte aux lettres récemment créées pour s'assurer qu'aucun transfert automatique d'e-mails n'a été configuré par l'intrus pour maintenir une écoute discrète.

Les recommandations officielles des éditeurs pour sécuriser vos workflows

Les éditeurs de logiciels adaptent constamment leurs recommandations face à l'évolution des techniques de piratage. Pour maintenir un niveau de protection optimal, il convient d'appliquer les guides de bonnes pratiques diffusés par les autorités de sécurité et les fournisseurs de services cloud.

DocuSign rappelle régulièrement dans ses alertes de sécurité que ses processus de signature n'exigent jamais la saisie d'identifiants de messagerie tiers pour accéder à un document. Si une invite de connexion Microsoft 365 ou Google apparaît immédiatement après avoir cliqué sur un lien de signature, l'utilisateur doit immédiatement interrompre la procédure et signaler l'incident.

De son côté, Microsoft conseille d'activer les fonctionnalités de protection avancée de l'identité au sein d'Entra ID. Ces outils s'appuient sur l'analyse comportementale pour détecter les anomalies de connexion, telles que les "déplacements impossibles" (une connexion depuis deux pays différents en quelques minutes), et bloquer automatiquement les sessions suspectes.

Conclusion : Vers une hygiène numérique renforcée

La sophistication de la campagne NovaCookies démontre que la sécurité informatique ne peut plus reposer uniquement sur la confiance accordée aux expéditeurs ou sur des mots de passe complexes. L'interception dynamique de sessions exige une refonte des méthodes d'accès et une vigilance constante des utilisateurs au quotidien.

Pour approfondir vos connaissances sur la sécurisation des environnements cloud et découvrir des analyses détaillées sur les menaces actuelles, vous pouvez consulter notre blog informatique. L'évaluation régulière de vos configurations d'accès reste la clé pour anticiper ces attaques complexes et protéger durablement vos données d'entreprise.

Si vous souhaitez faire le point sur vos protocoles de sécurité ou obtenir un accompagnement pour auditer vos systèmes d'information, n'hésitez pas à découvrir nos services informatiques ou à consulter nos expertises techniques pour renforcer la résilience de votre infrastructure numérique face aux nouvelles cybermenaces. Pour des besoins spécifiques à domicile ou en entreprise, un service de dépannage informatique peut également vous aider à sécuriser vos postes de travail.

Questions fréquentes

Sources

• Island.io - NovaCookies at scale: Inside the $320 Phishing Service
• DocuSign Trust - Advanced Phishing Scams Leveraging Notifications
• DocuSign - Safety alerts and updates