Ce que le FBI a réellement décrit
L’alerte provient du Centre des plaintes pour crimes sur Internet (IC3) du FBI, dans un message d’utilité publique publié le 1er septembre (PSA I-090126). Cet avis décrit une technique nommée phishing de consentement OAuth, que le Bureau suit depuis la fin de 2025 et qu’il considère désormais active contre des personnalités de premier plan, leurs proches et leurs contacts personnels. Le langage du FBI est sans équivoque: il décrit cette méthode comme « une approche trompeuse, sophistiquée, pour accéder aux comptes utilisateurs sans exiger de mot de passe ».
OAuth est le cadre technique derrière chaque bouton « Sign in with » ou « Continue with » que vous avez cliqué sur une grande plateforme. Il a été conçu pour permettre à des applications tierces de solliciter l’accès à votre compte sans que vous ayez à communiquer votre mot de passe réel. Ses usages légitimes se trouvent partout: une application de calendrier qui lit votre emploi du temps, un éditeur photo qui récupère des images dans votre stockage cloud, un outil de productivité qui accède à votre messagerie pour préparer des réponses. L’attaque exploite précisément ce flux.
Pourquoi changer votre mot de passe ne suffira pas
Voici la partie qui déplace le cadre habituel des attaques. Dans une arnaque de phishing classique, vous entrez vos identifiants sur une fausse page de connexion, l’attaquant les dérobe, vous remarquez quelque chose d’étrange, vous réinitialisez votre mot de passe et l’accès est perdu pour l’assaillant. Ce modèle ne s’applique pas ici. Car l’attaquant n’avait jamais votre mot de passe en premier lieu. Ce qu’il détient est un jeton d’autorisation OAuth, accordé par vous lorsque vous avez cliqué sur « autoriser » sur l’écran de permissions de l’application malveillante.
L’avis du FBI l’écrit clairement: « Une fois l’autorisation obtenue, elle ne peut être révoquée que par la victime en invalidant le jeton dans les paramètres de sécurité de l’application, et non en changeant le mot de passe. » Cela signifie que le conseil standard, que tout le monde connaît par cœur et que les équipes informatiques donnent depuis vingt ans, est exactement la mauvaise réponse. Les réinitialisations de mot de passe n’ont aucun effet. Les codes 2FA tout frais n’en ont aucun non plus. La seule issue est de traquer l’autorisation malveillante dans le tableau de sécurité de votre compte et de la révoquer manuellement, ce que la plupart des utilisateurs n’ont jamais ouvert de leur vie.
Comment l’attaque se déroule réellement
Les mécanismes sont plus simples et plus convaincants que la plupart des arnaques de phishing. Un attaquant se fait passer pour un contact ou un service de confiance, généralement par courrier électronique ou via une plateforme de messagerie, et envoie un lien. Le lien ouvre une page de connexion réelle et légitime d’une grande plateforme que vous utilisez déjà, exactement celle à laquelle vous vous attendez. Vous vous connectez comme d’habitude. Mais ensuite, la page vous demande d’approuver une application que vous ne reconnaissez pas, en sollicitant des autorisations comme « lire vos e-mails » ou « accéder à vos fichiers ». Vous l’approuvez parce que vous venez de vous connecter, le domaine semble correct et le flux paraît naturel.
Derrière les coulisses, cette approbation remet au pirate un jeton avec les autorisations que vous venez d’accorder. Il bénéficie désormais d’un accès discret et persistant à votre compte, et chaque connexion ultérieure que vous effectuez, chaque code 2FA que vous saisissez, ne modifie en rien son accès. Des chercheurs en sécurité qui suivent ces campagnes ont documenté entre 10 et 15 nouvelles opérations de ce type toutes les 24 heures ces mois-ci, avec plusieurs millions d’attaques enregistrées sur une même plage de quatre semaines plus tôt cette année. Les kits derrière les campagnes, vendus sous des noms comme Kali365 et EvilTokens, abaissent la barrière pour des attaquants moins techniques afin de mener ces opérations à grande échelle.
La place de NordVPN dans ce panorama
Aucun VPN n’empêche un utilisateur de cliquer sur « autoriser » sur un écran de consentement en qui il a confiance. C’est une décision humaine qu’aucun outil au niveau réseau ne peut contrecarrer. En revanche, une suite de sécurité bien conçue peut bloquer le lien malveillant avant même qu’il ne se charge dans votre navigateur, ce qui coupe la chaîne d’attaque dès le départ. Le Threat Protection Pro de NordVPN, inclus dans les plans de niveau supérieur, tient une liste continuellement à jour des domaines de phishing connus, des redirections malveillantes et des infrastructures d’escroquerie, et bloque les connexions vers ces sites au niveau réseau, peu importe l’application ou le navigateur qui a initié la requête.
Le Dark Web Monitor couvre l’autre volet du problème. Si un attaquant parvient à accéder à votre boîte de réception et commence à exporter des données personnelles, celles-ci finissent généralement sur des forums de cybercriminalité en quelques semaines. Le moniteur parcourt ces forums à la recherche de votre adresse e-mail et vous alerte lorsqu’elle apparaît, ce qui est souvent le premier signal concret que quelque chose ne va pas sur un compte que vous ne surveillez pas activement.
Le forfait Basic à 3,49 $/mois
Le forfait Basic de NordVPN est actuellement disponible à 3,49 $/mois, ce qui équivaut à 94,23 $ prélevés en une seule fois pour 27 mois de service (24 mois plus 3 mois gratuits). Cela représente une réduction de 69 % par rapport au tarif standard. Le renouvellement annuel reste à 139,08 $/an et peut être annulé à tout moment depuis le tableau de bord du compte.
Le forfait couvre le VPN principal sur jusqu’à 10 appareils, avec des applications pour Windows, macOS, Linux, iOS et Android, en plus des extensions de navigateur et de l’installation sur routeur. Passer à un niveau supérieur ajoute le Threat Protection Pro et le Dark Web Monitor, qui sont les deux fonctionnalités les plus pertinentes face à l’attaque par phishing OAuth suivie par le FBI.
30 jours pour tout tester, sans engagement
NordVPN accompagne chaque plan d’une garantie de remboursement de 30 jours. Si le service ne correspond pas à votre façon d’utiliser vos appareils, vous pouvez demander un remboursement complet dans le premier mois. Les demandes de remboursement se traitent via le chat 24/7, et les fonds reviennent généralement sous 5 à 10 jours ouvrables selon le mode de paiement utilisé.
Cela vous laisse un mois entier pour installer les applications, tester les vitesses sur votre connexion domestique et observer comment le filtre anti-phishing et le moniteur du dark web réagissent face au trafic d’attaque réel qui arrive dans votre boîte de réception. Petite note sur l’abonnement: le tarif de 3,49 $/mois s’applique pour les 27 premiers mois. Le renouvellement automatique prend ensuite effet au tarif annuel standard. Si vous préférez renégocier ou annuler avant le renouvellement, réglez un rappel dans votre calendrier 7 à 10 jours avant la date de renouvellement.
