La campagne Microsoft 365 observée par Huntress a produit plus de 81 millions de tentatives et compromis 78 comptes dans 64 organisations entre le 12 et le 26 juin 2026. Les attaquants ont exploité des identifiants valides avec le flux ROPC, incompatible avec la MFA. Pour réduire ce risque, les PME doivent inventorier ce flux, vérifier leurs règles d’accès et remplacer les mots de passe exposés ou réutilisés.
Ce que Huntress a observé
Entre le 12 et le 26 juin 2026, Huntress a observé plus de 81 millions de tentatives de connexion visant des environnements Microsoft 365. La campagne a compromis 78 comptes répartis dans 64 organisations. À l’échelle d’une PME, le chiffre le plus important n’est pourtant pas le volume : c’est le fait qu’un mot de passe déjà exposé puisse encore ouvrir une porte.
Les attaquants ont ciblé Azure CLI, utilisé pour administrer des ressources Azure et Entra. Ils ont aussi employé le flux OAuth ROPC (Resource Owner Password Credentials), qui transmet directement le mot de passe au fournisseur d’identité. Microsoft déconseille ce flux et indique qu’il ne prend en charge ni la MFA ni Conditional Access. Huntress a relevé, dans les organisations touchées, des politiques MFA absentes, limitées à certains comptes ou services, ou laissées en mode observation. Il ne s’agissait pas d’une faille de Microsoft 365 : ROPC constitue lui-même un chemin d’authentification sans prise en charge de ces contrôles.
Après le signalement de Huntress, le fournisseur a suspendu le service associé à la plage IPv6 initiale; les attaques depuis cette plage ont cessé. Cela n’a cependant pas mis fin à l’activité. Dans une mise à jour du 15 juillet, Huntress a rapporté le déplacement des tentatives vers FranTech, puis vers 3xK Tech, avec des techniques et des infrastructures évolutives. L’arrêt d’une plage IP ne suffit donc pas à conclure qu’une campagne de password spraying est terminée : les équipes doivent aussi suivre les connexions et les flux d’authentification concernés.
Le password spraying expliqué simplement
Dans une attaque par force brute classique, l’attaquant essaie de nombreux mots de passe sur un compte. Le compte peut alors être verrouillé rapidement. Avec le password spraying, il teste plutôt un mot de passe courant sur de nombreux comptes, puis change de mot de passe. L’activité est plus discrète et exploite souvent des listes de couples identifiant-mot de passe issues de fuites précédentes.
La campagne suivie par Huntress illustre deux réalités : l’automatisation permet de tester une échelle considérable, et un petit nombre de connexions réussies suffit à créer un incident. Une boîte mail, un compte administrateur ou un accès financier compromis peut ensuite servir à préparer une fraude, du phishing interne ou une nouvelle collecte d’identifiants.
Pourquoi la MFA ne couvrait pas tous les chemins
La MFA reste une défense essentielle pour les méthodes de connexion qui la prennent en charge. ROPC est incompatible avec MFA et Conditional Access; ne comptez donc pas sur ces règles pour protéger une application qui utilise ce flux. Huntress a aussi observé des politiques absentes, limitées à certains groupes, applications ou emplacements, ou restées en mode observation. Inventoriez les applications et méthodes d’authentification réellement utilisées, désactivez ROPC lorsqu’il n’est pas indispensable, puis vérifiez l’application effective de MFA et de Conditional Access sur les autres flux compatibles.
Pour une TPE-PME, la vérification utile est concrète : quels comptes existent encore, quelles applications peuvent se connecter, quelles méthodes sont autorisées, et que se passe-t-il lorsqu’un collaborateur réutilise un mot de passe déjà divulgué ?
Le rôle des mots de passe uniques
La MFA ne remplace pas l’hygiène des identifiants. Chaque service important doit avoir un secret différent, long et généré aléatoirement. Ainsi, la compromission d’un compte ne fournit pas automatiquement la clé d’un autre service.
La réutilisation augmente l’impact d’un mot de passe déjà volé. Un secret distinct par service empêche qu’une paire trouvée dans une fuite ouvre automatiquement d’autres comptes. La PME peut s’appuyer sur un générateur de mots de passe et consulter le guide des mots de passe forts et uniques.
Trois contrôles à effectuer dans votre tenant
- Inventoriez les comptes Microsoft 365, les rôles administrateurs et les boîtes partagées encore actifs.
- Identifiez les applications utilisant ROPC et désactivez-le lorsqu’il n’est pas indispensable; ce flux ne prend en charge ni MFA ni Conditional Access.
- Examinez les connexions réussies, remplacez les secrets exposés ou réutilisés et révoquez les sessions des comptes suspects.
Pour définir des règles homogènes dans une petite structure, consultez aussi le guide de politique de mots de passe PME.
Le lien avec Soclyde
Soclyde aide à générer et conserver des secrets uniques dans des coffres local-first, qui restent sur les appareils de l’utilisateur. Cela ne sécurise pas à lui seul un tenant Microsoft 365 et ne remplace ni la MFA ni la surveillance des connexions. En revanche, cela réduit la réutilisation sans concentrer les identifiants sensibles dans un coffre cloud centralisé.
À retenir
Les 81 millions de tentatives n’indiquent pas une faille générale de Microsoft 365. Elles montrent qu’un mot de passe réutilisé et un flux ROPC mal contrôlé peuvent suffire à compromettre des comptes. Vérifiez les méthodes d’authentification et appliquez les étapes du guide de politique de mots de passe PME en complément de la MFA.
