Un message arrive d’un collègue, d’un fournisseur ou d’un partenaire. Il propose de consulter un document ou demande une action rapide. Son adresse vous est familière. Mais une boîte compromise peut servir à contacter des clients ou des collaborateurs à l’insu de son propriétaire.
Comment est-ce possible avec une validation sur le téléphone ?
Après votre connexion à Microsoft 365, votre navigateur conserve une preuve d’authentification : votre session. Elle vous évite de saisir votre mot de passe à chaque action.
Certaines attaques ciblent cette session. Une page de phishing sert d’intermédiaire avec le véritable service Microsoft. Vous saisissez vos identifiants et validez la connexion sur votre téléphone. L’attaquant intercepte alors la session obtenue après cette validation.
Tant qu’elle reste utilisable et que les contrôles d’accès l’autorisent, il peut la réutiliser sans demander une nouvelle confirmation. Ce mécanisme est notamment décrit dans l’étude BigBear 2.0 de CloudSEK.
La double authentification reste essentielle. Elle doit être complétée par des protections adaptées aux attaques qui ciblent les sessions.
Les messages peuvent venir de la véritable boîte.
Une enquête de Huntress décrit une campagne de réutilisation de sessions Microsoft 365 volées ayant touché 79 organisations. Les chercheurs ont observé des règles de messagerie qui déplaçaient les courriers ou les marquaient comme lus pour masquer les échanges.
Dans un cas, une boîte compromise a envoyé des messages indésirables à des centaines de destinataires. Une adresse connue ne suffit donc pas à garantir qu’une demande est légitime.
Une connexion locale peut aussi être suspecte.
Limiter les connexions à certains pays réduit l’exposition. Mais un VPN ou un proxy peut faire apparaître une connexion dans un pays autorisé. CloudSEK décrit ainsi des proxys choisis selon le pays de la victime.
La localisation est un indice utile, à compléter par l’analyse des conditions de connexion et des actions réalisées dans le compte.
Quatre réflexes à partager avec vos équipes.
01. Prenez un instant avant de vous reconnecter.
Un document inattendu demande vos identifiants Microsoft ? Vérifiez la demande auprès de l’expéditeur par un autre canal. Ouvrez vos applications depuis vos favoris habituels.
02. Confirmez les demandes sensibles.
Un nouveau compte bancaire, un paiement urgent ou une demande de documents confidentiels mérite un appel à un numéro déjà connu.
03. Refusez les validations inattendues.
Ne confirmez pas une connexion que vous n’avez pas initiée. Si une notification apparaît sans raison, refusez-la et prévenez votre support informatique.
04. Signalez un doute, même après avoir cliqué.
Vous avez saisi votre mot de passe ou approuvé une connexion sur une page suspecte ? Contactez-nous sans attendre. Vous n’avez pas besoin d’être certain qu’une attaque a eu lieu pour demander une vérification.
Changer le mot de passe ne suffit pas toujours.
En cas de compromission, il faut aussi traiter les accès déjà ouverts. Microsoft recommande notamment de révoquer les sessions et les jetons concernés, puis d’examiner les activités et les modifications suspectes, y compris les règles de messagerie et les redirections.
L’objectif : couper l’accès de l’attaquant et vérifier ce qu’il a pu modifier.
Renforcer ensemble la sécurité de vos comptes.
Dans les prochains jours et les prochaines semaines, Redcore vous adressera des e-mails d’information et, selon votre situation, des questionnaires pour préparer l’amélioration de la sécurité de vos comptes Microsoft.
Ces échanges nous aideront à mieux comprendre vos usages : déplacements à l’étranger, appareils utilisés, accès à distance ou contraintes particulières. Nous pourrons ainsi adapter les protections à votre manière de travailler.
Vos mots de passe restent confidentiels. Nous ne vous demanderons jamais de nous communiquer un mot de passe, un code de validation ou un code de récupération dans un questionnaire ou par e-mail. En cas de doute, contactez-nous par vos coordonnées habituelles.
Pour aller plus loin.
Les publications ci-dessous documentent ces techniques. Elles ne concernent pas un incident client présenté par Redcore.