Entre juillet et septembre 2026, des attaquants ont pris le contrôle de comptes Microsoft 365 dans 79 organisations en rejouant des jetons de session volés, sans casser le MFA. Ce qu'est un vol de jeton, les signes d'alerte et la checklist à suivre par l'administrateur.
Entre le 14 juillet et le 22 septembre 2026, des attaquants ont pris le contrôle de comptes Microsoft 365 dans 79 organisations sans jamais deviner un mot de passe ni casser la double authentification : ils ont volé le « jeton » de session que Microsoft remet après une connexion réussie, puis l’ont rejoué depuis leurs propres serveurs. L’éditeur de sécurité Huntress, qui a documenté la campagne, parle de « token spraying ». Le MFA reste indispensable, mais il ne protège pas un jeton déjà émis : ce qui bloque cette attaque, ce sont des règles d’accès conditionnel bien réglées et un nettoyage complet en cas d’incident.
Cette page explique, sans jargon, ce qu’est un vol de jeton, pourquoi la double authentification ne suffit pas, à quoi ressemble un compte compromis et ce que doit vérifier la personne qui administre votre Microsoft 365. Tous les chiffres viennent du rapport de Huntress publié le 22 octobre 2026 et de la presse spécialisée qui l’a repris, listés en fin de page.
Sommaire
- Que s’est-il passé exactement ?
- Qu’est-ce qu’un vol de jeton, en termes simples ?
- Pourquoi la double authentification ne suffit pas
- Ce que l’attaquant fait une fois dans la boîte mail
- Les signes d’alerte à surveiller
- Checklist de l’administrateur Microsoft 365 en cas de compte compromis
- Prévenir : accès conditionnel et code d’appareil
- Les erreurs à éviter
- Ce que le dirigeant peut faire cette semaine
- Questions fréquentes
- Sources
Que s’est-il passé exactement ?
Huntress, un éditeur de sécurité qui surveille les comptes Microsoft 365 de ses clients, a publié le 22 octobre 2026 un rapport intitulé « M365 Token Spray and Replay Campaign Compromises Business Email Accounts ». Il décrit une campagne d’environ dix semaines, menée en quatre phases, visant des messageries professionnelles. Selon The Hacker News, qui a repris le rapport, les attaquants ont au final compromis 97 comptes et enregistré 48 faux appareils dans Entra.
| Ce que Huntress a observé | Chiffre |
|---|---|
| Période de la campagne | du 14 juillet au 22 septembre 2026 |
| Organisations touchées | 79 |
| Comptes compromis (chiffre de The Hacker News, d’après Huntress) | 97 |
| Connexions réussies de l’attaquant | au moins 497 |
| Tentatives de connexion échouées | plus de 200 000 |
| Faux appareils enregistrés dans Entra (l’annuaire de Microsoft 365) | au moins 48 |
| Organisations où les méthodes MFA ont été effacées puis remplacées en moins de 3 heures | 19 |
| Délai entre l’écran MFA de la victime et la réutilisation du jeton | 12 minutes en juillet, 4 minutes en septembre |
Les jetons volés étaient rejoués depuis un bloc d’adresses IP loué chez un hébergeur allemand, 1337 Services GmbH (plage 193.26.115.0/24). L’attaquant faisait tourner six adresses de ce bloc : bloquer une seule IP n’aurait donc rien réglé.
Le but final était classique : la fraude par e-mail. Dans un des incidents, l’attaquant a envoyé depuis la boîte de la victime un e-mail lié à la paie à l’expert-comptable externe de l’entreprise. C’est le scénario de la fraude au virement, ou fraude au faux interlocuteur, appelée BEC (business email compromise) en anglais. Huntress avait déjà décrit en juin 2026 une campagne du même type, signe que la méthode s’installe.
Qu’est-ce qu’un vol de jeton, en termes simples ?
Quand vous vous connectez à Outlook, Teams ou SharePoint, vous tapez votre mot de passe, vous validez la notification sur votre téléphone, et Microsoft vous remet en échange un jeton (token en anglais). C’est un petit fichier numérique qui dit « cette personne a bien prouvé son identité ». Tant qu’il est valide, vos applications le présentent à Microsoft au lieu de vous redemander mot de passe et code.
L’image la plus juste est celle du bracelet de festival. À l’entrée, on contrôle votre billet et votre pièce d’identité, puis on vous pose un bracelet. Ensuite, plus personne ne vérifie votre identité : on regarde seulement le bracelet. Si quelqu’un réussit à vous le prendre et à le mettre à son poignet, il entre partout où vous avez le droit d’aller.
Token spraying, ou « pulvérisation de jetons ». Huntress le définit comme le même schéma que le password spraying (essayer des mots de passe courants sur des milliers de comptes), mais avec des jetons volés à la place de mots de passe devinés. L’attaquant accumule des jetons dérobés et les essaie en masse depuis ses serveurs. La plupart échouent (plus de 200 000 échecs ici), mais ceux qui passent donnent un accès complet.
Pourquoi la double authentification ne suffit pas
La double authentification (MFA ou 2FA) protège le moment de la connexion. Or le jeton est émis après cette étape. Celui qui le détient n’a pas à repasser le MFA : il a déjà le bracelet. Huntress décrit trois façons d’obtenir les jetons : les deux premières méritent d’être comprises.
1. Le faux écran de connexion qui relaie le vrai
La victime reçoit un lien d’hameçonnage et arrive sur une page qui ressemble à celle de Microsoft. Derrière, un serveur dit « adversary-in-the-middle » (AiTM, l’attaquant au milieu) transmet en direct tout ce qu’elle saisit au vrai site de Microsoft : mot de passe, puis code MFA. La connexion réussit vraiment, et le serveur intermédiaire récupère au passage le jeton de session. La victime ne voit rien d’anormal.
2. L’hameçonnage par code d’appareil
Microsoft propose une connexion par « code d’appareil », prévue pour les écrans sans clavier (une salle de réunion, une télévision) : l’appareil affiche un code, et on le saisit sur une page Microsoft depuis son téléphone. L’attaquant détourne ce mécanisme : il génère un code, l’envoie à la victime sous un prétexte quelconque, et la victime le saisit sur la vraie page de Microsoft. Elle vient en réalité d’autoriser l’appareil de l’attaquant. Aucune fausse page, donc aucun indice visuel.
Troisième voie relevée par Huntress : l’ingénierie sociale pendant une connexion légitime. Dans les trois cas, la victime a bien fait son MFA. C’est ce qui rend l’attaque déroutante pour une PME qui pensait être protégée parce qu’elle avait activé la double authentification. Le MFA reste pourtant indispensable : sans lui, un simple mot de passe fuité suffit, et on explique comment le vérifier dans comment savoir si son mot de passe a été piraté.
Ce que l’attaquant fait une fois dans la boîte mail
Un jeton finit par expirer. L’attaquant le sait, et sa priorité est de se ménager un accès durable avant que cela arrive. Huntress a relevé quatre gestes récurrents.
- Enregistrer un faux appareil. Au moins 48 appareils fictifs ont été ajoutés dans Entra, nommés « DESKTOP- » suivi de huit caractères hexadécimaux en majuscules (par exemple DESKTOP-54521F46). Windows en génère sept par défaut : ce huitième caractère est un indice.
- Remplacer les méthodes MFA. Dans 19 organisations, les méthodes de double authentification de la victime ont été supprimées et une nouvelle enregistrée moins de trois heures après la première connexion. Le 21 juillet, une application d’authentification baptisée « iPhone 13 » a été ajoutée environ 50 minutes après que la victime eut atteint l’écran MFA du faux site. L’attaquant possède alors son propre « second facteur ».
- Créer des règles de boîte de réception invisibles. Leurs noms tiennent en un ou deux caractères (« . », « s », « d », « ss », « sss », « iT »). Elles déplacent ou masquent les messages qui parlent de paie, de virement, de banque ou de prime, ou les rangent dans des dossiers que personne n’ouvre (Flux RSS, Historique des conversations). Une règle masquait spécifiquement les réponses de l’expert-comptable. La victime ne voit donc ni les échanges de l’attaquant, ni les relances.
- Utiliser la boîte pour frauder ou spammer. Outre l’e-mail lié à la paie déjà cité, une boîte compromise a envoyé du spam à des centaines de destinataires externes avant que Microsoft Entra ID Protection ne classe le compte à haut risque.
Les signes d’alerte à surveiller
Côté utilisateur, plusieurs signaux doivent faire réagir, même pris isolément :
- un fournisseur, un client ou le comptable répond à un e-mail que vous n’avez pas envoyé ;
- des messages attendus (paie, banque, factures) qui n’arrivent plus, ou que l’on retrouve dans un dossier inhabituel ;
- une demande de saisir un code sur une page Microsoft alors que vous n’avez rien demandé ;
- une notification de connexion ou de nouvelle méthode d’authentification que vous ne reconnaissez pas ;
- une alerte de votre application d’authentification qui ne correspond à aucune action de votre part.
Côté administrateur, le premier signal est une connexion depuis l’adresse d’un hébergeur plutôt que d’un fournisseur d’accès grand public. Huntress donne aussi un conseil contre-intuitif : une connexion bloquée par l’accès conditionnel (code d’erreur AADSTS53003) n’est pas une bonne nouvelle à classer. Le blocage intervient après une authentification réussie : il prouve que l’identifiant volé était valide.
Checklist de l’administrateur Microsoft 365 en cas de compte compromis
C’est le point le plus important du rapport : une simple réinitialisation du mot de passe ne suffit pas. Selon Huntress, elle n’invalide pas le jeton d’accès déjà émis, qui reste utilisable environ 90 minutes, et elle laisse en place les appareils et méthodes MFA ajoutés par l’attaquant. Voici l’ordre à suivre pour chaque compte suspect.
- Révoquer les sessions et changer le mot de passe. Dans le centre d’administration Microsoft Entra, sur la fiche de l’utilisateur, l’action « Révoquer les sessions » déconnecte tous les appareils. Changez ensuite le mot de passe. Les deux, pas l’un ou l’autre.
- Auditer les appareils Entra. Listez les appareils rattachés au compte et à l’organisation. Cherchez les noms « DESKTOP- », « Device- » ou « Work Pc » suivis de huit caractères hexadécimaux, surtout s’ils ont été enregistrés depuis une adresse d’hébergeur. Huntress précise que ce schéma n’est pas propre à cette campagne : confirmez avant de supprimer.
- Revoir les méthodes MFA. Dans « Méthodes d’authentification », supprimez toute application ou tout téléphone que l’utilisateur ne reconnaît pas, en particulier une méthode ajoutée juste après la suppression des anciennes.
- Inspecter les règles de boîte de réception. Repérez les règles au nom d’un à trois caractères ou faites uniquement de ponctuation, celles qui déplacent vers Flux RSS ou Historique des conversations, et celles qui filtrent des mots comme paie, virement, banque ou prime.
- Chercher des applications d’entreprise inattendues. Une application à laquelle l’utilisateur a donné son consentement peut garder un accès. Huntress suggère de désactiver le consentement des utilisateurs et d’exiger une validation par un administrateur.
- Prévenir les contacts exposés. Si la boîte a servi à écrire au comptable, à la banque ou à des clients, appelez-les sur un numéro connu pour leur signaler qu’aucun changement de RIB ni paiement ne doit être pris en compte sans vérification.
Pour l’étape 4, Exchange Online permet de lister les règles d’une boîte en PowerShell, ce qui fait apparaître aussi les règles aux noms quasi invisibles :
Get-InboxRule -Mailbox utilisateur@votre-domaine.fr | Format-List Name,Enabled,MoveToFolder,DeleteMessage,SubjectOrBodyContainsWordsDernier conseil de priorisation, tiré du rapport : ne classez pas les comptes à traiter selon le nombre de tentatives échouées. Pendant la troisième phase, les 1 052 connexions bloquées venaient de quatre organisations dont l’accès conditionnel fonctionnait déjà, alors que les connexions réussies avaient lieu ailleurs. Traitez d’abord les comptes où une connexion a abouti.
Prévenir : accès conditionnel et code d’appareil
Huntress est clair sur la prévention : « les attaques par rejeu de jeton peuvent être évitées avec des stratégies d’accès conditionnel correctement mises en œuvre ». L’accès conditionnel (Conditional Access), c’est le videur de Microsoft 365 : à chaque accès, il vérifie des conditions (appareil connu, emplacement, type d’application) avant d’accepter le jeton. Sa recommandation : exiger le MFA, ou bloquer, pour tous les utilisateurs, toutes les applications cloud et tous les types de clients, sans condition. Chaque exception est une porte possible.
Deuxième mesure ciblée : restreindre le flux par code d’appareil. Une stratégie d’accès conditionnel sur les « flux d’authentification » permet de le bloquer. Si un usage réel existe (écran de salle de réunion), réservez-le à des comptes de service restreints, exclus nommément de la règle.
L’accès conditionnel n’est pas inclus dans toutes les offres Microsoft 365 : vérifiez votre abonnement avec votre prestataire ou votre revendeur avant de conclure que vous êtes protégé. Ce contrôle d’accès centralisé repose sur la même logique que l’authentification unique (SSO) : un seul point d’entrée, donc un seul endroit où bien régler les règles.
Les erreurs à éviter
- Se contenter de changer le mot de passe. Le jeton reste valable un moment, et surtout le faux appareil et la fausse méthode MFA restent en place : l’attaquant revient quand il veut.
- Bloquer une adresse IP et s’arrêter là. L’attaquant tournait sur six adresses du même bloc, et utilisait aussi des VPN grand public et des machines louées.
- Croire qu’une alerte « connexion bloquée » signifie « tout va bien ». Elle signifie que l’identifiant fonctionne et qu’il circule.
- Penser que le MFA rend l’hameçonnage inoffensif. Ici, toutes les victimes avaient passé leur MFA. La vigilance sur les liens et les codes reçus reste la première barrière.
Ce que le dirigeant peut faire cette semaine
Vous n’avez pas besoin de devenir administrateur Microsoft 365. Trois questions à poser à la personne ou au prestataire qui gère vos comptes suffisent à savoir où vous en êtes :
- Avons-nous des stratégies d’accès conditionnel actives, et couvrent-elles tous les utilisateurs et toutes les applications, sans exception non justifiée ?
- La connexion par code d’appareil est-elle bloquée ?
- Si un compte est piraté demain, la procédure prévoit-elle la révocation des sessions, l’audit des appareils, des méthodes MFA et des règles de boîte, et pas seulement un nouveau mot de passe ?
Ajoutez une règle simple en interne : aucun changement de coordonnées bancaires ni virement urgent n’est validé sur la foi d’un e-mail, même venant d’une adresse connue, sans un appel sur un numéro déjà enregistré. C’est la parade la plus efficace contre l’objectif final de ces attaques. Pour le reste des bonnes pratiques, notre liste de 10 mesures de cybersécurité qu’une TPE peut appliquer cette semaine complète cette page.
Votre site internet et les outils qui y sont branchés (formulaires, CRM, paiement) sont une autre porte. C’est le périmètre de notre offre d’hébergement et maintenance, qui inclut les mises à jour et la surveillance de vos sites. Pour un point sur la sécurité de votre site et de vos accès, appelez-nous au 04 11 78 90 73, écrivez-nous à contact@osmova.com ou passez par le formulaire de contact.
Questions fréquentes
Le MFA est-il devenu inutile ?
Non. Il bloque toujours l’usage d’un mot de passe fuité ou deviné, qui reste l’attaque la plus courante. Il ne protège simplement pas un jeton déjà émis : il faut l’accompagner de l’accès conditionnel.
Combien de temps un jeton volé reste-t-il utilisable ?
Un jeton finit par expirer ou être révoqué. Huntress indique qu’un jeton d’accès reste valable environ 90 minutes, même après un changement de mot de passe. D’où l’importance de révoquer les sessions, et de supprimer l’appareil et la méthode MFA que l’attaquant a ajoutés pour durer.
Comment savoir si mon compte Microsoft 365 a été touché ?
Demandez à votre administrateur de vérifier les appareils enregistrés à votre nom, vos méthodes d’authentification et les règles de votre boîte. Un appareil ou une méthode que vous ne reconnaissez pas, ou une règle au nom d’un seul caractère, justifie de dérouler toute la checklist.
Un antivirus aurait-il empêché l’attaque ?
Pas directement. Le jeton est rejoué depuis les serveurs de l’attaquant, pas depuis votre ordinateur. La parade se règle côté Microsoft 365 (accès conditionnel, blocage du code d’appareil) et dans les réflexes face aux liens et aux codes reçus.
