اقرأ بالعربية
Menu
Comptes & mots de passe

« Autoriser cette application ? » : le phishing par consentement qui contourne mot de passe et double authentification

Une vraie page de connexion Google ou Microsoft, puis « Autoriser » pour une appli inconnue : l’escroc lit vos e-mails sans votre mot de passe. Comment ça marche, et comment retirer les applis.

Publié le 7 min de lecture

Cet article est disponible en arabe

Youssef reçoit un message WhatsApp d’une personne qui se présente comme journaliste : « Salam, j’écris un article sur les jeunes entrepreneurs au Maroc et j’aimerais votre avis sur ce brouillon avant publication. » Le lien ouvre la vraie page de connexion Google, avec la bonne adresse et le cadenas. Il se connecte comme d’habitude. Puis une petite fenêtre s’affiche : « L’application Docs Viewer souhaite accéder à votre compte : lire vos e-mails, consulter vos fichiers. » Il clique sur « Autoriser » pour voir le brouillon.

Youssef n’a donné son mot de passe à personne. Il n’a saisi aucun code sur une fausse page. Pourtant, un inconnu peut désormais lire ses e-mails et ses fichiers, et peut-être envoyer des messages en son nom. C’est le phishing par consentement (consent phishing).

Comment fonctionne cette arnaque ?

Vous connaissez forcément les boutons « Se connecter avec Google », « avec Microsoft » ou « avec Facebook ». Ce mécanisme légitime, appelé techniquement OAuth, permet à une application d’accéder à une partie de votre compte sans connaître votre mot de passe. C’est très pratique quand l’application est fiable, et c’est justement parce qu’il inspire confiance que les escrocs l’exploitent.

  1. L’appât : un message d’un « journaliste » ou d’un « chercheur » qui vous demande de relire un document, d’un « organisateur d’événement » qui veut vérifier votre identité, ou un lien qui ressemble à un service de partage de fichiers.
  2. La vraie page : le lien mène à une page de connexion authentique de Google ou Microsoft. Votre mot de passe ne part pas chez l’escroc.
  3. La fenêtre d’autorisation : une fois connecté, une fenêtre vous demande d’accorder des droits à l’application de l’escroc : lire et envoyer des e-mails, accéder aux fichiers, etc.
  4. « Autoriser » : dès que vous acceptez, l’application obtient un « jeton d’accès » qui agit en votre nom.

En septembre 2026, le FBI a publié une alerte consacrée à cette technique. Il y explique que, depuis fin 2025, les attaquants contactent leurs cibles via des comptes personnels et des messageries, en se faisant passer pour des responsables publics, des journalistes, des personnalités ou des organisateurs d’événements.

Pourquoi ni le mot de passe ni la double authentification ne vous protègent

C’est un point essentiel. Selon l’alerte du FBI :

  • L’escroc n’obtient jamais votre mot de passe. Le changer ne supprime donc pas son accès.
  • Le « jeton d’accès » accordé reste valable même après un changement de mot de passe.
  • Comme tout passe par un protocole officiel, la double authentification ne bloque rien : c’est vous qui avez validé la connexion.
  • La seule façon de couper l’accès est de révoquer l’autorisation de l’application dans les paramètres de sécurité de votre compte.

Alerte arnaque

La fenêtre « Autoriser cette application à lire et envoyer vos e-mails ? » n’est pas une formalité. Si ce n’est pas vous qui avez cherché cette application et décidé de l’utiliser, cliquez sur « Annuler » ou « Refuser ».

Est-ce que ça arrive vraiment ?

Oui, et à grande échelle. Depuis début 2025, la société de sécurité Proofpoint a observé une campagne utilisant de fausses applications Microsoft qui imitaient des services connus comme Adobe, DocuSign ou SharePoint. Elle a relevé plus de 50 applications usurpées dans les e-mails de la campagne. Ces applications servaient de porte d’entrée pour pirater des comptes Microsoft 365.

Ces campagnes visent souvent d’abord les comptes professionnels, mais la même logique s’applique à votre compte personnel Gmail, Outlook ou Facebook.

Les signaux d’alerte

  • Un lien inattendu d’une personne que vous ne connaissez pas bien, même si elle se dit « journaliste » ou « responsable ».
  • Des autorisations sans rapport avec le service : pourquoi une « visionneuse de documents » aurait-elle besoin de lire vos e-mails et d’en envoyer en votre nom ?
  • Un nom d’application étrange, ou proche d’un nom connu avec une petite différence (un zéro à la place d’un O, par exemple).
  • La pression pour agir vite : « l’article sort ce soir », « vérification obligatoire avant l’événement ».
  • Une demande de « vérifier votre identité » via une application au lieu des moyens habituels.

Comment lire la fenêtre d’autorisation

Avant de cliquer sur « Autoriser », prenez cinq secondes pour lire trois choses : le nom de l’application (la connaissez-vous, l’avez-vous cherchée vous-même ?), le nom ou l’adresse du développeur s’il apparaît, et la liste des autorisations demandées. Une appli de retouche photo n’a pas besoin de lire vos e-mails, un jeu n’a pas besoin d’accéder à vos fichiers. Plus les droits dépassent les besoins de l’application, plus le risque d’arnaque est grand.

Pas à pas : vérifiez dès maintenant les applications liées à vos comptes

Même si vous n’êtes pas tombé dans le piège, c’est une bonne habitude de passer en revue une fois par an les applications qui ont des droits sur vos comptes. Vous serez surpris du nombre d’applications oubliées.

Compte Google

  1. Connectez-vous à votre compte Google (myaccount.google.com).
  2. Allez dans la section Sécurité, puis dans la liste des applications et services tiers ayant accès à votre compte (le nom peut légèrement varier selon la version).
  3. Touchez toute application inconnue ou que vous n’utilisez plus, puis « Afficher les détails » et « Supprimer l’accès ».

Facebook

  1. Ouvrez Paramètres et confidentialité, puis Paramètres.
  2. Allez dans Applications et sites web.
  3. Cliquez sur « Supprimer » à côté de chaque application inconnue.

Vous pouvez aussi utiliser l’outil Assistance confidentialité de Facebook pour passer en revue les applications auxquelles vous vous êtes connecté avec votre compte.

Compte Microsoft (Outlook, Hotmail)

Connectez-vous à account.microsoft.com et cherchez, dans les paramètres de confidentialité et de sécurité, la liste des applications et services qui peuvent accéder à vos données, puis supprimez ce que vous ne reconnaissez pas. Les noms des menus changent parfois : utilisez la recherche de la page du compte si vous ne les trouvez pas.

Attention

Supprimer l’accès empêche l’application de lire vos données à partir de maintenant, mais n’efface pas ce qu’elle a déjà récupéré. Google et Facebook précisent que l’application peut conserver les données obtenues, et qu’il faut parfois contacter son développeur pour en demander la suppression.

Que faire si vous avez autorisé une application suspecte ?

  1. Retirez immédiatement l’autorisation depuis la page des applications liées, comme ci-dessus. C’est l’étape la plus importante, car changer de mot de passe ne suffit pas.
  2. Inspectez votre messagerie : des messages envoyés que vous n’avez pas écrits ? Des règles de transfert automatique ou des filtres que vous n’avez pas créés ? Google recommande de supprimer tout filtre ou transfert que vous n’avez pas mis en place.
  3. Consultez l’activité du compte et les appareils connectés, et déconnectez tout appareil inconnu.
  4. Prévenez vos contacts si des messages ont été envoyés en votre nom, pour qu’ils ne tombent pas dans le même piège.
  5. Gardez des captures d’écran du message d’origine et du lien, comme le conseille le FBI, et signalez les faits via la plateforme « E-Blagh » de la DGSN (dgsn.gov.ma) ou à la police.
  6. Changez ensuite votre mot de passe par précaution, et activez si possible une clé d’accès.

Astuce

Règle d’or : n’accordez des autorisations qu’à une application que vous avez cherchée vous-même et décidé d’utiliser. Si elle vous arrive par le lien de quelqu’un d’autre, vérifiez d’abord par un autre canal, comme le recommande le FBI : appelez la personne ou confirmez son identité autrement.

L’essentiel à retenir

  • Une vraie page de connexion ne signifie pas que l’application qui demande des droits est fiable.
  • « Autoriser » donne un accès qui survit au changement de mot de passe.
  • Lisez les autorisations demandées : e-mails et fichiers = danger.
  • Passez en revue les applications liées à vos comptes et supprimez les inconnues.
  • Si vous avez autorisé une appli suspecte : retirez l’accès d’abord, puis inspectez votre messagerie.

Sources