MFA contourné sur Microsoft 365 : comment protéger votre PME

Vous avez activé la double authentification sur Microsoft 365 et vous pensez être protégé. C'est compréhensible — le MFA (ou authentification à deux facteurs) est présenté partout comme le bouclier incontournable. Sauf que des cybercriminels viennent de compromettre 97 comptes dans 79 organisations différentes… en contournant exactement cette protection. Pas en la cassant, pas en devinant vos mots de passe. En volant quelque chose que la plupart des dirigeants ignorent même que leurs employés possèdent : un token de session. Si vous utilisez Microsoft 365 dans votre PME, ce qui suit vous concerne directement.

Ce qu'est un token de session (et pourquoi c'est votre talon d'Achille)

Quand un de vos collaborateurs se connecte à Microsoft 365 et valide sa double authentification, Microsoft lui délivre un token — une sorte de badge numérique temporaire qui prouve qu'il est bien authentifié. Pendant quelques heures, parfois plus, ce badge lui permet de naviguer dans ses emails, ses fichiers Teams ou SharePoint sans se reconnecter à chaque clic. C'est pratique, c'est normal, c'est voulu. Le problème ? Si un attaquant parvient à voler ce badge, il n'a plus besoin ni de votre mot de passe ni de votre téléphone pour le code SMS. Il se glisse dans la session ouverte, exactement comme si c'était votre collaborateur. C'est ce qu'on appelle une attaque par rejeu de token — ou token replay attack — et c'est précisément la technique utilisée dans les 79 organisations touchées.

Comment les pirates volent ce badge sans que personne ne s'en aperçoive

La méthode la plus courante s'appelle AitM, pour Adversary-in-the-Middle — littéralement, « l'adversaire au milieu ». Imaginez un faux péage sur l'autoroute : votre employé croit se connecter au vrai portail Microsoft, mais il passe en réalité par un site pirate qui intercepte silencieusement ses identifiants ET son token de session en temps réel. Concrètement, votre collaborateur reçoit un email d'apparence parfaitement légitime — une fausse notification Microsoft, une prétendue invitation à un document partagé — et clique sur un lien. Il saisit son mot de passe, valide son code MFA. Tout semble normal. Mais dans l'ombre, le pirate a capturé le token et s'est connecté à votre Microsoft 365 avec les droits complets de votre employé. Le vrai collaborateur accède à son compte normalement, sans rien remarquer. L'attaque est invisible, rapide et particulièrement efficace contre les PME qui n'ont pas les outils pour détecter ce type d'intrusion.

Pourquoi votre PME est une cible prioritaire, pas une victime collatérale

On entend souvent « nous sommes trop petits pour être visés ». C'est faux, et les chiffres de cette campagne d'attaques le confirment : 79 organisations touchées simultanément, ce ne sont pas des multinationales avec des équipes IT de 50 personnes. Les PME présentent un profil idéal pour ce type d'attaque pour trois raisons simples. Premièrement, elles utilisent massivement Microsoft 365, souvent sans configuration de sécurité avancée au-delà du MFA de base. Deuxièmement, elles n'ont généralement pas d'outil de surveillance capable de détecter une connexion suspecte depuis un pays étranger ou un nouvel appareil inconnu. Troisièmement, une fois à l'intérieur, un attaquant trouve rapidement ce qu'il cherche : données clients, RIB, contrats, accès à la messagerie pour lancer de nouvelles arnaques au virement. En matière de Microsoft 365 sécurité PME, faire confiance uniquement au MFA activé par défaut, c'est laisser la porte entrouverte.

Ce que vous pouvez faire dès maintenant

1. Activez l'Accès Conditionnel dans Microsoft 365. Cette fonctionnalité (disponible dès Microsoft 365 Business Premium) permet de n'autoriser les connexions que depuis des appareils connus et des pays autorisés. Un token volé utilisé depuis la Roumanie à 3h du matin sera automatiquement bloqué. C'est l'une des mesures les plus efficaces contre les attaques AitM par rejeu de tokens.

2. Passez à des méthodes MFA résistantes au phishing. Remplacez les codes SMS par des clés de sécurité physiques (type YubiKey) ou configurez Microsoft Authenticator avec la correspondance de numéros. Ces méthodes rendent le vol de token beaucoup plus difficile à exploiter.

3. Réduisez la durée de vie des tokens de session. Par défaut, Microsoft 365 maintient les sessions ouvertes longtemps. Un administrateur peut configurer des politiques de révocation plus courtes, limitant la fenêtre d'exploitation en cas de vol.

4. Formez vos équipes à reconnaître les faux portails Microsoft. Un email qui vous demande de vous reconnecter à Microsoft 365 via un lien doit toujours éveiller la méfiance. Apprenez à vos collaborateurs à vérifier l'URL avant de saisir quoi que ce soit : elle doit impérativement commencer par login.microsoftonline.com.

5. Mettez en place une surveillance des connexions. Activez les alertes de connexion depuis de nouveaux appareils ou pays inconnus dans le centre de sécurité Microsoft 365. En cas d'intrusion, chaque heure compte — être alerté en temps réel peut faire toute la différence. Si vous n'avez pas le temps de gérer cela en interne, c'est exactement le type de mission qu'un prestataire cybersécurité spécialisé PME peut prendre en charge rapidement.