Les attaques sur Microsoft 365 dépassent les mots de passe
Une campagne de pulvérisation de mots de passe de 81 millions de tentatives, des outils de phishing en tant que service et le vol de jetons OAuth montrent pourquoi la défense de l'identité doit couvrir l'ensemble du processus de connexion.
Image de soutien : contexte de connexion Microsoft 365 et d'identité cloud.
Les attaques contre les identités Microsoft 365 ont été un autre thème majeur cette semaine. Des rapports publics ont décrit une campagne agressive de « password spraying » qui a généré plus de 81 millions de tentatives de connexion contre des environnements Microsoft 365 sur deux semaines. Le même cycle d'actualités incluait des recherches de Cisco Talos sur ARToken, une plateforme de phishing en tant que service connectée au phishing Microsoft 365 de type EvilTokens, ainsi que des rapports sur les techniques ConsentFix et ClickFix qui peuvent voler des jetons via de fausses fenêtres contextuelles et des flux OAuth.
Le message est simple : les attaquants ne se contentent plus de deviner les mots de passe. Ils attaquent le processus d'authentification lui-même.
L'ancien modèle est trop étroit
De nombreuses organisations considèrent encore la sécurité des comptes comme un problème de mot de passe plus MFA. Ce modèle néglige la manière dont les intrusions modernes dans Microsoft 365 se produisent réellement.
Les attaquants peuvent envoyer des mots de passe à grande échelle pour trouver des comptes faibles. Ils peuvent utiliser le phishing de type adversaire-au-milieu pour capturer des cookies de session. Ils peuvent tromper les utilisateurs pour qu'ils approuvent le consentement OAuth. Ils peuvent abuser des flux de code de périphérique. Ils peuvent utiliser de fausses invites de navigateur ou de fausses instructions de support pour amener la victime à faire volontairement la partie dangereuse.
En d'autres termes, le chemin de compromission du compte n'est plus une simple boîte de connexion. C'est une chaîne de décisions concernant l'identité, le navigateur, le consentement, le jeton et la session.
Pourquoi l'AMF est nécessaire mais pas suffisante
L'authentification multifactorielle (MFA) reste importante. Elle bloque d'énormes volumes d'abus de credentials basiques. Mais toutes les MFA ne se valent pas.
Les codes SMS, les approbations push sans correspondance de numéro et les mots de passe à usage unique peuvent être piratés ou obtenus par ingénierie sociale. Le vol de jeton peut contourner la nécessité de répéter l'authentification multifacteur si l'attaquant capture une session valide. L'abus d'OAuth peut accorder l'accès sans voler du tout un mot de passe.
C'est pourquoi les programmes d'identité doivent évoluer vers une MFA résistante au phishing, l'accès conditionnel, la confiance des appareils et la surveillance continue des sessions.
À quoi donner la priorité
Les défenseurs de Microsoft 365 devraient se concentrer sur les contrôles qui perturbent l'ensemble de la chaîne d'attaque.
- Exiger une MFA résistante au phishing pour les administrateurs, les utilisateurs financiers, les cadres et les rôles à haut risque.
- Désactiver l'authentification héritée et les protocoles inutilisés.
- Examiner les politiques de consentement des applications OAuth.
- Alerter sur les autorisations de consentement inhabituelles, les nouvelles règles de boîte aux lettres, le transfert suspect, les voyages impossibles et les nouvelles inscriptions de dispositifs.
- Utiliser des politiques d'accès conditionnel qui tiennent compte de la conformité des dispositifs, de l'emplacement, du risque et du comportement de session.
- Former les utilisateurs au phishing via codes de dispositifs, aux invites ClickFix et aux instructions de navigateurs falsifiés.
- Surveiller les schémas de pulvérisation de mots de passe répartis sur de nombreuses adresses IP source.
Le point commercial à retenir
Microsoft 365 n'est pas seulement un service de messagerie. Il s'agit de documents, Teams, SharePoint, identités, calendriers, fichiers et historique des processus métiers. Un compte compromis peut devenir un point d'entrée dans la mémoire de l'entreprise.
Cette semaine montre pourquoi la sécurité des identités doit être considérée comme une discipline de détection et de réponse, et pas seulement comme un paramètre de connexion.
Sources
- Microsoft - Documentation sur l'accès conditionnel d'Entra
- Microsoft - Guide OAuth 2.0 ROPC
- Cisco Talos - ARToken : À l'intérieur d'un panneau d'affiliés EvilTokens ciblant Microsoft 365 (1er juillet 2026)
- The Hacker News - Le malware Umbrij lié à ToddyCat abuse d'OAuth pour accéder à Gmail via l'API Google (2 juillet 2026)