Une campagne à grande échelle, mais une faiblesse très ordinaire
Entre le 12 et le 26 juin 2026, Huntress a observé plus de 81 millions de tentatives de connexion visant des environnements Microsoft 365. La campagne a compromis 78 comptes répartis dans 64 organisations. À l’échelle d’une PME, le chiffre le plus important n’est pourtant pas le volume : c’est le fait qu’un mot de passe déjà exposé puisse encore ouvrir une porte.
Les attaquants ont ciblé Azure CLI, l’outil utilisé pour administrer des ressources Azure et Entra. Ils ont également utilisé le flux OAuth appelé ROPC, qui transmet directement les identifiants au point d’accès au jeton et ne déclenche pas une invite MFA interactive classique. Ce flux ne signifie pas que Microsoft 365 est « cassé » : il montre qu’une configuration d’accès peut laisser subsister un chemin moins bien protégé.
Le password spraying expliqué simplement
Dans une attaque par force brute classique, l’attaquant essaie de nombreux mots de passe sur un compte. Le compte peut alors être verrouillé rapidement. Avec le password spraying, il teste plutôt un mot de passe courant sur de nombreux comptes, puis change de mot de passe. L’activité est plus discrète et exploite souvent des listes de couples identifiant-mot de passe issues de fuites précédentes.
La campagne suivie par Huntress illustre deux réalités : l’automatisation permet de tester une échelle considérable, et un petit nombre de connexions réussies suffit à créer un incident. Une boîte mail, un compte administrateur ou un accès financier compromis peut ensuite servir à préparer une fraude, du phishing interne ou une nouvelle collecte d’identifiants.
Pourquoi la MFA n’a pas partout le même effet
La MFA reste une défense essentielle. Mais elle doit couvrir les comptes, les applications et les méthodes d’authentification réellement utilisées. Une règle limitée aux portails d’administration, à certains groupes ou à certains emplacements ne protège pas nécessairement un autre flux. Les méthodes anciennes et les règles en mode observation méritent donc un inventaire précis.
Pour une TPE-PME, la vérification utile est concrète : quels comptes existent encore, quelles applications peuvent se connecter, quelles méthodes sont autorisées, et que se passe-t-il lorsqu’un collaborateur réutilise un mot de passe déjà divulgué ?
Le rôle des mots de passe uniques
La MFA ne remplace pas l’hygiène des identifiants. Chaque service important doit avoir un secret différent, long et généré aléatoirement. Ainsi, la compromission d’un compte ne fournit pas automatiquement la clé d’un autre service.
Soclyde intervient sur cette partie du problème : générer et conserver des secrets uniques dans des coffres local-first, qui restent sur les appareils de l’utilisateur. Cela ne sécurise pas à lui seul une configuration Microsoft 365 et ne remplace ni la MFA ni la surveillance des connexions. En revanche, cela réduit la réutilisation et évite de concentrer les identifiants sensibles dans un dépôt cloud centralisé.
Trois vérifications à faire cette semaine
- Listez les comptes Microsoft 365, administrateurs et boîtes partagées qui existent encore.
- Contrôlez que la MFA s’applique à tous les utilisateurs, toutes les applications et tous les flux pertinents.
- Remplacez les mots de passe réutilisés par des secrets uniques, puis révoquez les sessions et jetons associés aux comptes à risque.
Le chiffre de 81 millions est spectaculaire. La leçon pour une petite entreprise est plus simple : un identifiant recyclé et un chemin d’authentification oublié peuvent suffire. Réduire la réutilisation est une mesure immédiate, complémentaire de la MFA et des contrôles Microsoft 365.
Pour revoir la gestion des accès de votre équipe, découvrez l’approche local-first de Soclyde.
