Microsoft 365 concentre aujourd’hui la messagerie, le stockage de fichiers et la collaboration de la plupart des organisations. Pour protéger ces comptes, le MFA (authentification multifacteur) s’est imposé comme un réflexe de sécurité. Les attaques récentes montrent que ce verrou, aussi solide soit-il, ne couvre qu’une partie du problème : une fois la session ouverte, le jeton qui la maintient active devient la cible réelle des attaquants.
Vol de session et vol de mot de passe : deux menaces distinctes sur Microsoft 365
Le vol de mot de passe reste une attaque courante. L’utilisateur saisit ses identifiants sur une fausse page de connexion, et l’attaquant récupère le couple identifiant/mot de passe. Le MFA bloque efficacement ce scénario, puisque le mot de passe seul ne suffit plus pour se connecter.
Le détournement de session authentifiée fonctionne différemment. L’attaquant ne cherche pas à deviner ou voler un mot de passe. Il intercepte le cookie ou jeton de session généré après que l’utilisateur a validé son second facteur. Ce jeton prouve que l’authentification complète a déjà eu lieu. En le rejouant depuis un autre appareil, l’attaquant accède directement au compte, sans déclencher de nouvelle demande MFA.
Les entreprises qui misent sur une stratégie de cybersécurité managée pour les PME intègrent désormais cette distinction dans leurs politiques de protection, car le périmètre à défendre dépasse le simple couple identifiant/mot de passe.
Pourquoi le MFA seul ne protège plus les sessions Microsoft 365
Le MFA vérifie l’identité de l’utilisateur au moment de la connexion. Une fois cette étape franchie, Microsoft émet un jeton de session qui maintient l’accès ouvert. C’est ce jeton, et non le mot de passe, qui devient la cible.
Certaines attaques exploitent des proxys frauduleux : l’utilisateur croit se connecter à Microsoft, mais sa connexion transite par un serveur intermédiaire. L’authentification se déroule normalement, MFA compris, et le cookie de session est capté au passage. L’attaquant n’a jamais eu besoin du mot de passe ni du code temporaire : il récupère directement le résultat final de l’authentification.
D’autres attaques abusent de flux d’authentification conçus pour les appareils sans navigateur. L’utilisateur valide une demande sur une page Microsoft légitime, mais autorise sans le savoir la création de jetons rattachés à un appareil qu’il ne contrôle pas. Ces jetons persistent bien au-delà de la session initiale.
La mise en place d’une gestion des appareils et des accès rigoureuse permet de limiter ce risque en restreignant les flux d’authentification autorisés aux seuls appareils gérés par l’organisation.
Accès conditionnel et évaluation continue : vérifier la session, pas seulement l’utilisateur
Le MFA classique pose une question binaire au moment de la connexion : l’utilisateur est-il bien celui qu’il prétend être ? Une fois la réponse obtenue, la session reste ouverte sans contrôle supplémentaire. C’est cette logique qui rend le vol de session si efficace.
Microsoft Entra ID (anciennement Azure AD) propose des mécanismes pour passer à une vérification continue :
- Les politiques d’accès conditionnel évaluent chaque tentative de connexion selon plusieurs critères : localisation géographique, appareil utilisé, niveau de risque détecté, application demandée. Une connexion depuis un pays inhabituel ou un appareil non géré peut être bloquée ou soumise à une réauthentification.
- L’évaluation continue des accès (Continuous Access Evaluation) permet de révoquer une session en temps réel lorsqu’un changement de contexte est détecté, par exemple un déplacement géographique suspect ou la désactivation du compte par un administrateur.
- La limitation de la durée de vie des jetons réduit la fenêtre d’exploitation. Un jeton qui expire après une heure offre moins de marge de manoeuvre qu’un jeton valide pendant vingt-quatre heures.
Ces mesures transforment la session en un objet surveillé en permanence, et non en un laissez-passer illimité délivré une seule fois.
MFA résistant au phishing : clés FIDO2 et passkeys sur Microsoft 365
Le MFA par SMS ou par notification push reste vulnérable aux attaques par proxy, car le second facteur transite par un canal interceptable. Les recommandations récentes convergent vers une catégorie de MFA dite « résistante au phishing ».
Les clés physiques FIDO2 et les passkeys reposent sur un principe cryptographique qui lie l’authentification au domaine exact du site visité. Si l’utilisateur est redirigé vers un proxy frauduleux, la clé refuse de s’activer car le domaine ne correspond pas. L’interception du cookie de session devient alors impossible à ce stade.
Microsoft a amorcé la fin progressive de l’authentification par SMS et appel vocal sur Entra ID, en orientant les organisations vers les passkeys. Cette transition ne supprime pas le risque de vol de jetons après authentification, mais elle ferme la porte d’entrée principale exploitée par les campagnes de phishing actuelles.
Surveillance des connexions et révocation des jetons : les réflexes défensifs
Déployer un MFA résistant au phishing et des politiques d’accès conditionnel ne couvre pas tous les scénarios. La surveillance active des connexions reste un filet de sécurité à ne pas négliger.
Les journaux de connexion d’Entra ID permettent d’identifier des signaux d’alerte :
- Connexions simultanées depuis deux zones géographiques éloignées
- Utilisation d’un client mail ou d’un navigateur inhabituel
- Changements soudains de règles de transfert dans Outlook (technique classique de compromission de messagerie professionnelle)
La révocation immédiate des jetons de session est la réponse technique à un incident confirmé. Un administrateur peut forcer la déconnexion de toutes les sessions actives d’un utilisateur compromis depuis le portail Entra ID, invalidant tous les jetons en circulation.
Les retours terrain divergent sur la rapidité réelle de propagation de cette révocation selon les applications Microsoft 365 concernées. Teams, Outlook et SharePoint ne réagissent pas tous dans le même délai. Tester régulièrement cette procédure en conditions réelles permet d’éviter les mauvaises surprises lors d’un incident.
La sécurité d’un environnement Microsoft 365 ne repose plus sur un seul verrou posé à l’entrée. La persistance des jetons après authentification est devenue le maillon ciblé par les attaquants, et les défenses doivent s’adapter en conséquence : accès conditionnel, évaluation continue, MFA résistant au phishing et capacité de révocation rapide forment un ensemble cohérent. Aucune de ces briques ne fonctionne seule.
