https://cyberveille.ch/tags/hybrid-modern-authentication/ Recent content in Hybrid Modern Authentication on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 03 Nov 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-11-03-hybrid-modern-authentication-exchange-contournement-mfa-via-ntlm-et-fba-non-desactives/ Tue, 03 Nov 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-11-03-hybrid-modern-authentication-exchange-contournement-mfa-via-ntlm-et-fba-non-desactives/ <h2 id="-contexte">🔍 Contexte</h2> <p>Source : dfir.ch, publié le 1er novembre 2026. Retour d&rsquo;expérience issu d&rsquo;une investigation de réponse à incident sur un environnement <strong>Microsoft Exchange on-premises</strong> ayant déployé <strong>Hybrid Modern Authentication (HMA)</strong>.</p> <h2 id="-situation-observée">🧩 Situation observée</h2> <p>L&rsquo;organisation avait configuré HMA pour permettre à Outlook de s&rsquo;authentifier via <strong>Microsoft Entra ID avec OAuth</strong> et imposait le <strong>MFA</strong> via Microsoft 365. Malgré cela, les logs Exchange révèlent <strong>66 610 requêtes EWS authentifiées avec succès via NTLM</strong>, associées à un user-agent <strong>Mozilla Thunderbird</strong> inhabituel dans cet environnement.</p>