› Situation au 10 octobre 2026Microsoft a détaillé EvilTokens, une opération cybercriminelle exploitant l'intelligence artificielle pour personnaliser des leurres et analyser les boîtes de messagerie compromises afin d'y repérer des cibles à forte valeur.
› L'analyse a été publiée le 22.09.2026.
› Le problème central ne se limite pas à un e-mail particulièrement bien rédigé : accéder aux échanges permet aux pirates d'identifier la prochaine cible et d'aligner leur requête sur ses dossiers en cours.
› Ce cas, issu de notre série sur les cas d'usage de l'IA, montre pourquoi la sécurité d'une boîte mail ne peut être dissociée du contrôle des décisions prises à partir de son contenu.En résuméLes attaquants ont obtenu la validation de leur session en détournant la procédure légitime d'authentification par code d'appareil (22.09.2026).L'opération a touché plus de 12 000 boîtes de messagerie dans plus de 10 000 organisations à travers le monde (22.09.2026).Le nombre de boîtes ne correspond pas au nombre d'individus, et l'IA n'a pas cassé mathématiquement le MFA (22.09.2026).Chronologie de l'attaqueFévrier : le service était déjà identifié (Microsoft, 22.09.2026).Publication de Microsoft : le rapport couvre les campagnes et les mesures prises sur le semestre étudié, dont une perturbation coordonnée de l'infrastructure (22.09.2026).Octobre : le CERT-EU communique sur les actions menées contre l'infrastructure et sur des arrestations (2026-10).Ce que révèlent les chiffresDomaineConstatLimite d'interprétationInfrastructure50 sites saisis, plus de 150 domaines supplémentaires désactivés (CERT-EU, 2026-10).Il s'agit du résultat de l'intervention, pas du bilan des comptes récupérés.Action policièreLa police de Londres a arrêté deux hommes (CERT-EU, 2026-10).Une arrestation ne vaut pas condamnation.Déroulement : validation de l'accès puis tri des donnéesD'après le rapport de Microsoft, l'accès à la messagerie et l'exploitation de son contenu constituent deux étapes bien distinctes.