Vol de session Microsoft 365 : pourquoi changer le mot de passe ne suffit pas
Un employé tombe sur une fausse page de connexion Microsoft. Vous le découvrez, vous changez son mot de passe et vous passez à autre chose. Selon une enquête publiée le 22 octobre par la firme Huntress, c’est exactement ce qui laisse la porte ouverte.
Entre le 14 juillet et le 22 septembre 2026, une même campagne de vol de session a touché 79 organisations utilisant Microsoft 365. Les attaquants n’avaient pas besoin du mot de passe : ils rejouaient des jetons de session volés, émis après l’authentification multifacteur. Une fois entrés, ils ajoutaient leur propre téléphone comme méthode MFA, inscrivaient de faux appareils et cachaient des courriels. Voici comment ça s’est passé, pourquoi un simple changement de mot de passe ne suffit pas, et l’ordre à suivre pour vraiment reprendre le contrôle.
Le vol de session en bref : la MFA a fonctionné, puis on l’a contournée
Quand vous vous connectez à Microsoft 365, une fois le mot de passe et la MFA acceptés, Microsoft remet à votre navigateur un jeton : une sorte de bracelet qui prouve que vous êtes déjà passé au contrôle. Si quelqu’un vole ce bracelet, il entre à votre place, sans repasser au contrôle. Huntress parle de « token spraying » : les mêmes adresses réseau rejouaient des jetons volés à de nombreuses victimes, organisation après organisation.
Les jetons venaient de plusieurs sources : des pages qui relaient la vraie connexion (attaque de type « adversaire au milieu », ou AiTM), l’hameçonnage par code d’appareil et l’ingénierie sociale. Toutes les connexions rejouées passaient par six adresses d’un même bloc, 193.26.115.0/24, chez l’hébergeur 1337 Services GmbH à Hambourg.
🏢
79 organisations
Touchées entre le 14 juillet et le 22 septembre 2026, soit dix semaines.
🔓
Au moins 497 connexions réussies
Sans mot de passe : les attaquants rejouaient des sessions déjà validées par l’authentification multifacteur (MFA).
💻
Au moins 48 faux appareils
Inscrits dans Entra ID sous des noms comme « DESKTOP- » suivi de 8 caractères.
📱
19 organisations
Où les méthodes MFA de la victime ont été effacées et remplacées en moins de 3 heures.
La vitesse aussi a changé. Le 21 juillet, il s’est écoulé 12 minutes entre le moment où la victime est arrivée à l’étape MFA et le détournement de sa session. Le 22 septembre, il n’en fallait plus que 4.
21 juillet 2026 : 50 minutes, d’une page de connexion piégée au téléphone de l’attaquant (heure de l’Est)
13 h 18
La victime arrive à l’étape MFA
Sur une fausse page qui relaie la vraie connexion Microsoft (technique « adversary-in-the-middle »). Elle approuve la demande, comme d’habitude.
13 h 30
La session est détournée
Douze minutes plus tard, une adresse de l’attaquant utilise le jeton de session. Aucun mot de passe n’est demandé : pour Microsoft 365, la MFA est déjà faite.
13 h 43
Une deuxième adresse prend le relais
Le même jeton est rejoué depuis une autre adresse du même bloc réseau.
14 h 08
Un « iPhone 13 » est ajouté comme authentificateur
L’attaquant enregistre son propre appareil comme méthode MFA. Il pourra revenir même après un changement de mot de passe.
Ce qui reste après l’intrusion
Ce qui rend cette campagne dangereuse pour une PME, c’est la suite. Dans 19 organisations, les méthodes MFA de la victime ont été effacées puis remplacées par celles de l’attaquant en moins de 3 heures. Au moins 48 faux appareils ont été inscrits dans Entra ID, ce qui donne un point d’appui durable.
Dans les boîtes aux lettres, des règles au nom presque vide (« . », « sss », « iT », « s », « d ») envoyaient les messages dans des dossiers que personne ne regarde, comme RSS Feeds ou Conversation History. Dans un cas décrit par Huntress, un courriel au sujet de la paie a été envoyé à un comptable externe, et des règles cachaient ensuite tout ce qui parlait de paie, de dépôt direct, de banque ou de primes, ainsi que tous les messages de ce comptable. C’est le même scénario que la fraude au virement : on détourne la conversation, puis on cache les réponses.
Pourquoi changer le mot de passe ne suffit pas
| Ce que chaque geste enlève | Session volée en cours | Faux appareil Entra | Méthode MFA de l’attaquant | Règles de boîte cachées |
|---|---|---|---|---|
| Changer le mot de passe seulement | ◐ | ✖ | ✖ | ✖ |
| Révoquer les sessions | ✔ | ✖ | ✖ | ✖ |
| Supprimer les appareils inconnus | ✖ | ✔ | ✖ | ✖ |
| Retirer les méthodes MFA inconnues | ✖ | ✖ | ✔ | ✖ |
| Supprimer les règles de boîte suspectes | ✖ | ✖ | ✖ | ✔ |
| Confinement complet (les cinq) | ✔ | ✔ | ✔ | ✔ |
✔ retiré · ✖ reste en place · ◐ partiel : selon Huntress, un changement de mot de passe sans révocation laisse le jeton d’accès déjà émis valide environ 90 minutes, et ne touche ni aux appareils ni aux méthodes MFA ajoutés.
Le réflexe « on change le mot de passe » règle le problème d’hier : quelqu’un connaît le mot de passe. Il ne règle pas celui d’aujourd’hui : quelqu’un a déjà une session ouverte, son propre téléphone comme deuxième facteur et un appareil inscrit chez vous. Le guide de réponse au vol de jetons de Microsoft va dans le même sens : révoquer les sessions fait partie du confinement.
Confinement d’un compte Microsoft 365 détourné : l’ordre qui compte
Révoquer toutes les sessions de l’utilisateur
Centre d’administration Entra : Users → l’utilisateur → Revoke sessions. C’est ce qui coupe l’accès en cours.
Réinitialiser le mot de passe
Ensuite seulement : le mot de passe a pu être capturé par la même fausse page.
Vérifier les méthodes d’authentification
Users → l’utilisateur → Authentication methods : retirez tout téléphone ou application que la personne ne reconnaît pas.
Vérifier les appareils
Devices → All devices : cherchez des appareils récents nommés « DESKTOP-… » qui n’appartiennent à personne chez vous, et supprimez-les.
Lire les règles de la boîte aux lettres
Outlook ou le centre d’administration Exchange : des règles au nom très court (« . », « s », « iT ») qui déplacent des messages vers RSS Feeds ou Conversation History sont un signe connu de cette campagne.
Prévenir les personnes concernées
Si des courriels ont été envoyés au nom de la victime (paie, dépôt direct, factures), appelez les destinataires par un numéro connu.
🛡️ Un blocage qui en dit long : l’erreur AADSTS53003
Le 11 septembre, en quatre jours, Huntress a compté 303 connexions réussies dans 29 organisations. Pendant la même période, 1 052 tentatives ont été bloquées, toutes dans 4 organisations dont l’accès conditionnel a fait son travail. Dans les journaux de connexion, ces refus portent le code AADSTS53003. Huntress recommande de les traiter comme un signal : si l’accès conditionnel bloque, c’est que la session ou l’identifiant présenté était valide.
Prévenir le vol de session cette semaine
Les chemins ci-dessous sont ceux du centre d’administration Microsoft Entra, en anglais.
Exiger la MFA pour tous les utilisateurs, toutes les applications et tous les types de clients
Entra admin center → Conditional Access → Policies
Sans exception « temporaire » oubliée. C’est la base qui a fait la différence pour les 4 organisations protégées.
Bloquer le flux « code d’appareil » si vous ne l’utilisez pas
Conditional Access → Conditions → Authentication flows → Device code flow
Les jetons de cette campagne venaient aussi de l’hameçonnage par code d’appareil. Peu de PME en ont réellement besoin.
Désactiver le consentement des utilisateurs aux applications
Entra admin center → Enterprise applications → Consent and permissions
Et surveillez l’apparition de nouvelles applications d’entreprise que personne n’a demandées.
Recevoir une alerte quand un appareil ou une méthode MFA est ajouté
Entra admin center → Audit logs
Un nouvel authentificateur à 14 h un mardi, pour quelqu’un qui n’a pas changé de téléphone, mérite un appel.
Nous avions déjà décrit les deux portes d’entrée de cette campagne : l’hameçonnage par code d’appareil et les pages relais comme FlowerStorm et KrakVM. Ce que l’enquête de Huntress ajoute, c’est ce qui se passe après, et la vitesse à laquelle ça se passe.
Chez NeoTech, nos services Microsoft 365 mettent en place l’accès conditionnel, bloquent les flux inutiles et nettoient les comptes après un incident, dans le bon ordre. Avec notre surveillance cyber, une surveillance automatisée 24/7 avec intervention du technicien de garde signale les nouveaux appareils, les nouvelles méthodes MFA et les règles de boîte suspectes dès qu’ils apparaissent.
Réservez votre Bilan cyber gratuit
Vous ne savez pas si l’accès conditionnel couvre tous vos comptes, ou si un ancien incident a laissé un appareil inconnu dans votre Entra ID? Le Bilan cyber gratuit passe en revue vos règles d’accès, vos méthodes MFA et vos appareils inscrits, puis nous vous remettons un plan clair.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Huntress : campagne de rejeu de jetons volés contre Microsoft 365, juillet à septembre 2026 (22 octobre 2026) (en anglais)
- Help Net Security : des comptes Microsoft 365 pris à l’aide de sessions volées (23 octobre 2026) (en anglais)
- Microsoft Learn : guide de réponse au vol de jetons (Token theft playbook) (en anglais)
Photo : Christina Morillo, Pexels (licence Pexels).
3 thoughts on “Vol de session Microsoft 365 : pourquoi changer le mot de passe ne suffit pas”