Vol de jetons Microsoft 365 : pourquoi le MFA n’a pas suffi
Huntress détaille une campagne qui a volé des sessions Microsoft 365 après validation du MFA. Ce qu’ont fait les attaquants et ce qu’il faut vérifier chez vous.
Vos collaborateurs peuvent avoir activé l’authentification multifacteur et perdre quand même le contrôle de leur boîte Microsoft 365. C’est ce que montre une étude de la société de sécurité Huntress, publiée fin octobre 2026. Elle décrit une campagne menée du 14 juillet au 22 septembre, au cours de laquelle les attaquants ont volé la session de connexion elle-même plutôt que le mot de passe.
Ce qui s’est passé
Dans son rapport, Huntress indique être intervenue sur des incidents liés dans 79 organisations. The Hacker News donne ce bilan : 97 comptes compromis, 497 connexions réussies sur plus de 200 000 tentatives et au moins 48 faux ordinateurs enregistrés dans les annuaires Microsoft des victimes.
La méthode est la suivante. Une fausse page de connexion s’intercale entre l’utilisateur et la vraie page Microsoft. La personne saisit son mot de passe et valide le MFA normalement, et Microsoft délivre un jeton de session, la preuve que la connexion est terminée. Le relais capture ce jeton, que l’attaquant rejoue depuis sa propre machine. Huntress a aussi relié certains jetons à du phishing par code d’appareil et à de la manipulation pendant une connexion légitime. Elle appelle cette réutilisation à grande échelle « token spraying », sur le modèle du « password spraying ».
Pourquoi une petite entreprise est concernée
Le plus instructif, c’est la suite. Une fois entrés, les attaquants ont cherché à rester, même si la session volée expirait :
- Ils ont remplacé le MFA. Dans au moins 19 organisations, les méthodes de la victime ont été supprimées et une nouvelle ajoutée dans les trois heures suivant la première connexion.
- Ils ont enregistré de faux appareils. Un appareil enregistré peut rester dans votre annuaire jusqu’à ce que quelqu’un le supprime.
- Ils ont masqué des e-mails. Des règles de boîte de réception aux noms aussi courts que « s » ou « . » supprimaient ou déplaçaient les messages évoquant la paie, un dépôt ou une prime.
Ces règles trahissent un but connu : détourner discrètement des paiements pendant que le véritable employé ne voit pas les réponses. Changer le mot de passe ne suffit pas à supprimer tout cela.
Ce qu’il faut vérifier cette semaine
- Regardez les règles de boîte de réception. Cherchez des noms étranges, ou des règles qui suppriment des messages ou les déplacent vers des dossiers comme Flux RSS ou Historique des conversations, en commençant par les personnes qui gèrent la paie et les factures.
- Contrôlez les méthodes MFA. Dans le centre d’administration Microsoft Entra, repérez les applications d’authentification ou numéros de téléphone que personne ne reconnaît, surtout s’ils ont été ajoutés quelques minutes après la suppression des anciens.
- Auditez les appareils enregistrés. Huntress a relevé de faux postes nommés « DESKTOP- » suivi de huit caractères. Supprimez tout ce que vous ne pouvez pas rattacher à un vrai ordinateur.
- En cas de découverte, agissez d’un seul bloc. Révoquez les sessions de l’utilisateur, réinitialisez le mot de passe, retirez les méthodes, appareils et règles frauduleux, puis vérifiez ce qui a été envoyé depuis la boîte.
Ce qu’il faut changer
Le MFA bloque encore beaucoup d’attaques : gardez-le activé. Pour fermer cette brèche, envisagez une connexion résistante au phishing, comme les clés d’accès ou les clés de sécurité physiques, qui ne fonctionnent pas sur un faux site. Si votre offre Microsoft 365 inclut l’accès conditionnel, servez-vous-en pour limiter les connexions aux appareils de confiance et bloquer le flux par code d’appareil pour ceux qui n’en ont pas besoin. Demandez à vos équipes de confirmer par téléphone tout changement de coordonnées bancaires, avec un numéro déjà connu, et de signaler toute demande de connexion inattendue, même validée.
Pour le volet humain, voyez notre page phishing et sécurité des e-mails et nos conseils sur les mots de passe et la sécurité des comptes.
Si vous souhaitez faire vérifier les connexions, règles et appareils de votre Microsoft 365, appelez le (213) 986-4855 ou découvrez nos services de cybersécurité.