Hybrid Modern Authentication Exchange : contournement MFA via NTLM et FBA non désactivés
🔍 Contexte Source : dfir.ch, publié le 1er novembre 2026. Retour d’expérience issu d’une investigation de réponse à incident sur un environnement Microsoft Exchange on-premises ayant déployé Hybrid Modern Authentication (HMA). 🧩 Situation observée L’organisation avait configuré HMA pour permettre à Outlook de s’authentifier via Microsoft Entra ID avec OAuth et imposait le MFA via Microsoft 365. Malgré cela, les logs Exchange révèlent 66 610 requêtes EWS authentifiées avec succès via NTLM, associées à un user-agent Mozilla Thunderbird inhabituel dans cet environnement. ...