Attaques par hameçonnage ciblant les clés d’accès : pourquoi la sécurité de Microsoft 365 ne peut pas s’arrêter à la connexion

Des attaques par hameçonnage exploitant le thème des clés d’accès sont utilisées pour compromettre des comptes Microsoft 365. Voici pourquoi les organisations ont besoin de protection des identités, de détection des piratages de comptes et de visibilité après la connexion pour arrêter les pirates une fois l’accès initial obtenu.

Ce qu’il faut retenir

• Les clés d’accès restent robustes, mais des messages liés aux clés d’accès sont utilisés par les pirates comme leurres de social engineering.
• Le véritable risque commence après que les pirates ont accédé à un compte Microsoft 365 de confiance.
• Les équipes de sécurité ont besoin d’une visibilité sur l’ensemble des activités liées aux identités, aux e-mails, aux applications cloud et aux données.
• La détection des piratages de comptes et la remédiation après remise sont essentielles lorsque la prévention échoue.

Les clés d’accès sont conçues pour rendre les attaques par hameçonnage plus difficiles. Ainsi, lorsque les pirates ont commencé à utiliser les clés d’accès comme leurre, cela a attiré l’attention de nombreuses personnes.

L’hameçonnage aux clés d’accès est une tactique de social engineering dans laquelle des mises à jour de clés d’accès, d’authentification multifacteur ou d’authentification unique sont utilisées par les pirates comme leurre pour inciter les utilisateurs à accorder un accès ou à modifier leurs paramètres d’authentification.

D’après de récentes recherches de Microsoft Security Research, des acteurs malveillants se sont fait passer pour des membres du service d’assistance informatique et ont contacté directement des employés par téléphone et par SMS. Le message est simple : vos paramètres de clé d’accès, d’authentification multifacteur ou d’authentification unique doivent être mis à jour. Suivez ces instructions dès maintenant, sans quoi vous risquez de perdre l’accès.

Cela semble anodin. C’est précisément pour cette raison que cela fonctionne. Et une fois que l’utilisateur a mordu à l’hameçon, la situation peut rapidement dégénérer.

Que se passe-t-il après une attaque par hameçonnage aux clés d’accès réussie ?

Le premier élément qui ressort de l’enquête de Microsoft, c’est que les clés d’accès n’intéressaient pas vraiment les pirates. Elles n’étaient qu’un appât. Le véritable objectif était l’accès aux comptes Microsoft 365. Une fois cet accès obtenu, la campagne s’est révélée très différente d’une attaque par hameçonnage classique.

Les pirates ont ajouté des méthodes d'authentification qu'ils contrôlaient. Ils ont exploré l'environnement Microsoft 365. Ils ont identifié des informations précieuses. Puis ils ont commencé à les collecter. Dans certains cas, cette activité s'est poursuivie pendant des jours.

C’est ce qui rend cette campagne importante. La compromission n’était pas l’événement. C’était le début.

Pourquoi les pirates se concentrent-ils sur la persistance après la compromission de Microsoft 365 ?

Un détail revient régulièrement dans les conclusions de Microsoft : les pirates ne se précipitaient pas. Après avoir obtenu l’accès, ils se sont concentrés sur la persistance. De nouvelles méthodes d’authentification ont été enregistrées, leur permettant de garder le contrôle et de continuer à opérer au sein de l’environnement.

À partir de là, ils ont progressivement cartographié l’organisation. Qui a accès à quoi ? Où les informations précieuses sont-elles stockées ? Quels comptes pourraient être utiles ensuite ?

Ces réponses ne sont pas obtenues au moyen d’une attaque éclair. Elles sont obtenues en passant du temps à l’intérieur de l’environnement. Et c’est précisément ce temps que ces pirates cherchaient à s’accorder.

Pourquoi les activités de piratage de compte sont-elles difficiles à détecter ?

C’est là que la tâche se complique pour les défenseurs. Microsoft a observé que Microsoft Graph, SharePoint, OneDrive, Exchange Online et d’autres services Microsoft 365 légitimes étaient utilisés par les pirates. Aucune de ces activités n’est inhabituelle en soi. Les employés recherchent des fichiers. Ils accèdent à SharePoint. Ils lisent des e-mails. Ils utilisent des applications professionnelles. En apparence, une grande partie de l’activité des pirates était exactement identique.

Le danger n’est devenu évident que lorsque ces événements ont été mis en relation. Une connexion réussie a été suivie de modifications de l’authentification multifacteur. Ces modifications ont été suivies d’une reconnaissance du locataire. La reconnaissance a été suivie d’un accès aux boîtes aux lettres et d’une collecte de fichiers.

Considérés individuellement, ces événements semblaient normaux. Considérés ensemble, ils révélaient une attaque qui progressait dans l’environnement.

Pourquoi la compromission d’une identité est-elle un incident de sécurité cloud ?

Pendant des années, les discussions relatives à la sécurité des emails se sont concentrées sur le fait d’empêcher les messages malveillants d’atteindre les boîtes de réception. Cela reste important, mais des attaques comme celle-ci mettent en évidence un défi bien plus grand.

Une fois l’accès à une identité Microsoft 365 obtenu, les pirates ne ciblent plus seulement les e-mails. Ils ciblent les outils de collaboration, le stockage cloud, les communications internes, les processus métier et les connaissances de l’organisation.

À ce stade, vous êtes confronté à bien plus qu’un simple événement d’hameçonnage. Vous êtes confronté à un incident de sécurité cloud.

Après l’authentification, la sécurité devient un tout autre problème

Les recherches de Microsoft confirment ce que de nombreuses équipes de sécurité constatent déjà sur le terrain. Des contrôles d’identité robustes restent essentiels. Des technologies telles que les clés d’accès, Microsoft Entra, l’Accès conditionnel, Microsoft Defender et Exchange Online Protection offrent une base solide pour sécuriser les environnements Microsoft 365.

Mais après l’authentification, le défi change. Les questions importantes deviennent les suivantes : un compte compromis a-t-il commencé à envoyer des messages suspects ? Une nouvelle méthode d’authentification a-t-elle été ajoutée ? Une activité inhabituelle est-elle constatée dans une boîte aux lettres ? Des fichiers sont-ils discrètement collectés depuis SharePoint ou OneDrive ?

Ce sont ces signaux qui apparaissent souvent plus tard dans le cycle de vie de l’attaque. Ils expliquent aussi pourquoi de nombreuses organisations accordent davantage d’importance à la détection des piratages de comptes, à la remédiation continue et à la sécurité après remise, en complément des contrôles de prévention traditionnels.

L’objectif n’est pas simplement de bloquer les menaces à la porte d’entrée. Il s’agit de comprendre ce qui se passe si l’une d’entre elles parvient à passer.

Comment les équipes de sécurité peuvent-elles détecter les attaques après la connexion ?

La leçon la plus importante de cette campagne est peut-être que personne n’aurait compris l’attaque en examinant un seul événement. Pas la connexion. Pas l’enregistrement MFA. Pas l’activité de la boîte aux lettres. Pas l’accès à SharePoint. Pas les requêtes Microsoft Graph.

Microsoft a précisément indiqué que l’activité Graph devait être évaluée en fonction de la progression des comportements et de la corrélation entre les événements, plutôt que requête par requête, de manière isolée. Cette observation s’applique bien au-delà de cette campagne. Les attaques modernes restent rarement au même endroit. Elles se déplacent entre les identités, les boîtes aux lettres, les applications, les services cloud et les données.

Le défi consiste à relier ces signaux avant que le pirate n’ait le temps d’atteindre son objectif.

Quels enseignements les organisations doivent-elles tirer des attaques par hameçonnage aux clés d’accès ?

Il serait facile de lire cette histoire et de conclure qu’elle concerne les clés d’accès. Ce n’est pas le cas. Les clés d’accès restent l’une des technologies d’authentification les plus robustes disponibles.

La principale leçon est que les pirates continuent de chercher des moyens de contourner les contrôles de sécurité en exploitant un élément bien plus difficile à protéger que la technologie : la confiance. Et une fois à l’intérieur, ils font souvent preuve de patience.

Pour les organisations qui utilisent Microsoft 365, des contrôles d’identité robustes ne constituent qu’une partie de l’équation. Les attaques de ce type soulignent l’importance de repérer rapidement les comptes compromis, de remédier en continu aux menaces émergentes et de relier les activités liées aux identités, aux e-mails, aux services cloud et aux données.

Car le véritable risque n’est pas la compromission initiale. C’est tout ce qui se passe après.