Pourquoi est-ce important ?
Lorsqu’un compte Microsoft 365 est compromis, l’attaquant ne se limite généralement pas à une seule application. Selon les droits associés au compte, il peut notamment accéder à :
- des e-mails ;
- des documents SharePoint ;
- des conversations Teams ;
- des fichiers OneDrive ;
- des informations financières ;
- des données clients.
Un seul compte compromis peut ainsi avoir des conséquences bien plus importantes qu’on ne pourrait le penser.
La MFA reste essentielle, mais elle ne suffit plus
Pendant des années, l’authentification multifacteur, ou MFA, a été la recommandation numéro un pour protéger les comptes utilisateurs. À juste titre : elle bloque encore une grande partie des attaques classiques visant les identifiants.
Mais les cybercriminels ont fait évoluer leurs méthodes. Aujourd’hui, ils ne cherchent plus nécessairement à voler votre mot de passe. Ils ciblent ce qui se passe après l’authentification.
Ils détournent des sessions actives, dérobent des jetons d’authentification, exploitent des applications OAuth ou utilisent des processus de connexion légitimes pour rester présents dans votre environnement Microsoft 365 sans attirer l’attention.
Autrement dit, même lorsque la MFA est activée, un attaquant peut encore parvenir à accéder à vos données et à vos applications.
Les cyberattaques qui contournent les protections classiques
-
Le phishing de type adversary-in-the-middle (AiTM)
L’utilisateur arrive sur une fausse page de connexion qui agit comme un intermédiaire. Son mot de passe et sa demande de MFA sont transmis à Microsoft, tandis que l’attaquant intercepte le cookie de session. La MFA est donc bien validée, mais la session est récupérée par le cybercriminel.
-
Le détournement de sessions et de jetons
Lorsqu’il dispose d’un jeton volé, l’attaquant ne doit plus se connecter. Pour les systèmes, il est déjà authentifié. Il n’y a donc pas nécessairement de nouvelle demande de MFA ni d’alerte visible pour l’utilisateur.
-
L’utilisation abusive des applications OAuth
Un simple clic sur « Accepter » peut accorder à une application d’apparence légitime un accès durable à une boîte mail, à des fichiers ou à un calendrier. Cet accès peut rester actif même après une modification du mot de passe. Sans gouvernance adéquate, les applications connectées à Microsoft 365 peuvent ainsi créer des accès persistants et difficiles à détecter.
-
La manipulation des boîtes mail et des règles de messagerie
Cette technique existe depuis longtemps, mais elle reste efficace. Une règle peut transférer automatiquement des factures vers une adresse externe ou déplacer les réponses d’une banque dans un dossier peu visible. L’utilisateur ne remarque rien, jusqu’au moment où un paiement est effectué sur le mauvais compte.
-
Les comportements inhabituels après la connexion
Téléchargement soudain d’un grand nombre de fichiers, partages inhabituels ou accès à des heures anormales : les signes les plus révélateurs apparaissent parfois après l’authentification. Une organisation qui surveille uniquement les tentatives de connexion risque donc de passer à côté de l’essentiel
Shadow AI et agents : de nouveaux enjeux de contrôle et de gouvernance
À ces risques s’ajoute désormais une nouvelle dimension. Les collaborateurs peuvent créer leurs propres agents, installer des agents externes ou connecter des outils d’intelligence artificielle aux données de l’entreprise. Ces usages offrent de nombreuses possibilités, mais ils présentent aussi des risques lorsqu’ils se développent sans visibilité ni gouvernance.
Cette prolifération peut donner naissance à une forme de Shadow AI : des outils et des agents non encadrés qui disposent pourtant d’un accès aux documents, aux boîtes mail ou à d’autres informations professionnelles.
Pour garder le contrôle sur ces nouveaux usages, les organisations doivent pouvoir identifier les agents présents dans leur environnement, déterminer à quelles données ils ont accès et intervenir lorsqu’un agent n’est plus utilisé ou ne dispose plus d’un propriétaire. Microsoft répond notamment à cet enjeu avec Agent 365, un point de contrôle central permettant d’identifier, de gérer et de sécuriser les agents utilisés au sein de l’organisation.
Un registre centralisé aide les équipes IT à visualiser les agents présents dans l’environnement, y compris ceux qui ne disposent plus d’un propriétaire ou qui ne sont pas gérés. Les administrateurs peuvent notamment bloquer un agent, le réactiver, le réaffecter à un nouveau propriétaire ou le supprimer.
Pour les organisations qui déploient Copilot ou d’autres solutions d’intelligence artificielle, la gouvernance et la sécurité des agents deviennent donc des enjeux incontournables. Elles doivent désormais s’intégrer dans une approche plus large de la sécurité Microsoft 365.
Comment Orbid vous aide à sécuriser durablement Microsoft 365
Les attaques modernes ne ciblent plus uniquement les mots de passe. Elles exploitent également les sessions, les autorisations, les identités et, de plus en plus souvent, les outils d’intelligence artificielle. Une évaluation ponctuelle ne suffit donc plus : la sécurité de votre environnement doit être suivie et adaptée dans la durée.
La cybersécurité n'est pas un produit que l’on active une fois pour toutes. C’est un processus permanent d’analyse, de protection et d’amélioration. Orbid peut accompagner votre organisation dans les domaines suivants :
- Analyse du Microsoft Secure Score
Nous analysons le niveau de sécurité de votre environnement Microsoft 365 afin de vous donner une vision objective de votre situation actuelle. Vous recevez des priorités claires et des recommandations concrètes pour renforcer votre protection. - Parcours de cybersécurité
De l’analyse initiale à la mise en œuvre des mesures de sécurité, nous construisons un parcours adapté à vos risques, à vos priorités et aux cadres réglementaires qui concernent votre organisation, tels que NIS2. - Security Vigilance
Nos ingénieurs en sécurité examinent régulièrement votre environnement, analysent les journaux et les incidents, puis mettent en œuvre les améliorations nécessaires. Votre niveau de sécurité évolue ainsi en fonction des menaces et des changements apportés à votre infrastructure. - Optimisation de vos licences Microsoft 365
Les nouvelles offres Defender Suite et Purview Suite pour Microsoft 365 Business Premium étendent les possibilités de protection à l’heure de l’intelligence artificielle. Elles permettent notamment de renforcer la détection des menaces visant les identités, d’automatiser certaines réponses aux incidents, de mieux contrôler le Shadow IT et le Shadow AI, et de protéger les données sensibles. Pour les organisations plus grandes, plus complexes ou soumises à des exigences réglementaires renforcées, nous évaluons également si une évolution vers Microsoft 365 E5 constitue une étape pertinente. - Managed Modern Workplace
Avec notre solution Managed Modern Workplace, Orbid prend en charge la gestion et le suivi de votre environnement Microsoft 365. Votre équipe IT peut ainsi se concentrer sur ses priorités, tout en bénéficiant d’un environnement actualisé, correctement géré et sécurisé. Vos collaborateurs, quant à eux, continuent à travailler et à collaborer en ligne dans des conditions optimales.
Une question sur la sécurité de votre environnement M365 ?
Vous souhaitez évaluer votre niveau de protection ou savoir quels services correspondent le mieux aux besoins de votre organisation ? Contactez-nous et échangez avec nos experts.