Microsoft 365

📅 Source : Eye Security Labs — Article publié le 29 octobre 2026 par Martin Warmer. Contexte Cet article analyse le comportement réel des mécanismes de révocation d’accès dans Microsoft 365 (Exchange Online / Entra) suite à une compromission par phishing, en testant l’impact pratique de trois actions défensives : révocation de session, réinitialisation du mot de passe, et désactivation du compte. Mécanisme d’authentification M365 L’accès à Exchange Online repose sur deux tokens émis par Entra : ...

🔍 Contexte Publié le 22 octobre 2026 par Huntress (Andrea Hatcher, Susannah Matt, Matt Poto, Andrew Schwartz), cet article documente une campagne de token replay ciblant Microsoft 365 observée sur une période de dix semaines, du 14 juillet au 22 septembre 2026. 🎯 Mécanisme d’attaque L’attaquant n’a jamais eu besoin de mots de passe. La chaîne d’attaque repose sur : Des relais adversary-in-the-middle (AiTM) capturant les tokens de session post-MFA via de fausses pages de connexion Du device-code phishing (victimes trompées pour entrer un code sur la vraie page Microsoft) De l’ingénierie sociale lors de processus de connexion légitimes Les tokens volés étaient ensuite rejoués en masse depuis le bloc IP 193.26.115.0/24 appartenant à 1337 Services GmbH (AS210558, Hamburg, Allemagne), dans un schéma qualifié de « token spraying » (analogue au password spraying mais avec des tokens volés). ...

🔍 Contexte Source : BleepingComputer, publié le 17 octobre 2026. L’article rapporte une attaque de type supply chain ciblant le service ConnectWise Cloud Backup (anciennement SkyKick Cloud Backup), ayant conduit à la compromission de tenants Microsoft 365 de clients MSP. 🎯 Nature de l’attaque L’attaquant a obtenu les secrets d’application (credentials) des service principals de ConnectWise Cloud Backup dans Microsoft Entra ID, lui permettant de s’authentifier directement auprès de Microsoft 365 sans passer par un login utilisateur. Cette méthode contourne le MFA, car il s’agit d’une authentification applicative. ...

🔍 Contexte Publié le 7 août 2026 par SafeBreach Labs, cet article présente les résultats de recherche de Ron Ben Yizhak, présentés en première mondiale à DEF CON 34. L’étude porte sur l’environnement de conteneurs Azure isolés utilisés par la fonctionnalité Python in Excel de Microsoft. 🎯 Vulnérabilités découvertes Deux problèmes distincts ont été identifiés et corrigés entre mars et juin 2026 : 1. Escalade de privilèges via lien symbolique (symlink attack) ...

📰 Source : ASCII.jp — Article publié le 5 octobre 2026, relatant une annonce officielle du groupe Nihon Keizai Shimbun (Nikkei) datée du 4 octobre 2026. 🎯 Nature de l’incident Le groupe de presse Nihon Keizai Shimbun (Nikkei) a annoncé avoir été victime de deux incidents de compromission de comptes cloud distincts affectant ses employés : Microsoft 365 : Un ou plusieurs comptes d’employés ont été compromis par un tiers non autorisé, entraînant l’envoi d’environ 9000 e-mails frauduleux usurpant l’identité de ces employés. Nikkei a procédé à un changement de mot de passe et indique qu’aucun accès non autorisé supplémentaire n’a été détecté depuis. Google Workspace : Des connexions non autorisées depuis l’extérieur ont été détectées à partir de fin juillet, conduisant à la fuite potentielle de données personnelles de 1646 personnes (adresses e-mail, noms, et autres informations d’employés et de partenaires commerciaux). L’incident a été découvert suite à une notification de Google début août. Le mot de passe a été changé et aucun accès non autorisé ultérieur n’a été constaté. 📊 Impact ...

🔍 Contexte Publié le 6 août 2026 par le Google Threat Intelligence Group (GTIG) et Mandiant, cet article constitue une mise à jour d’un précédent rapport de mai 2026 sur le groupe UNC6671. Il documente la continuation et la diversification des opérations de ce groupe malgré l’annonce de la retraite de la marque BlackFile en mai 2026. 🎭 Acteur et marques associées UNC6671 opère désormais sous plusieurs marques d’extorsion disposant chacune d’un Data Leak Site (DLS) distinct : ...

🎯 Contexte Publié le 2 août 2026 par Abnormal AI, ce rapport technique est basé sur l’analyse du logiciel opérateur ARToken et la rétro-ingénierie de son API backend. Il documente une plateforme Phishing-as-a-Service (PhaaS) observée pour la première fois en juillet 2026, ciblant des utilisateurs Microsoft 365. 🔍 Description de la menace ARToken abuse du flux OAuth 2.0 device-authorization grant (suivi par Microsoft sous le nom Storm-2372) pour dérober des tokens d’accès et de rafraîchissement sans jamais afficher de fausse page de connexion. La cible s’authentifie sur la vraie page Microsoft (login.microsoft.com/device), ce qui rend l’attaque transparente aux contrôles anti-phishing classiques et contourne le MFA. ...

🔍 Contexte Rapport publié le 23 juillet 2026 par l’équipe ReliaQuest Threat Research. Il documente une campagne active depuis au moins juin 2026, ciblant des passerelles Wi-Fi captives dans des hôtels et centres de conférence aux États-Unis, en Inde et en Arabie Saoudite. 🎯 Nature de l’attaque Les attaquants compromettent des appliances de portail captif (passerelles Wi-Fi hôtelières) en exploitant des interfaces d’administration exposées (SSH, SNMP, consoles web) combinées à des credentials administratifs faibles ou réutilisés. Une fois l’accès administratif obtenu, ils configurent un DNS poisoning pour rediriger l’ensemble du trafic DNS des clients connectés vers une infrastructure contrôlée par l’attaquant. ...

📰 Source : BleepingComputer — Date de publication : 3 juillet 2026 — Contexte : Découverte par Cisco Talos lors d’un engagement de réponse à incident. 🎯 Présentation de la menace Cisco Talos a identifié ARToken, une plateforme de Phishing-as-a-Service (PhaaS) présentant de fortes similarités techniques avec EvilTokens, une plateforme commerciale de phishing documentée par Sekoia en mars 2026. ARToken opère comme affilié d’EvilTokens et expose un panneau de gestion basé sur React avec plus de 80 endpoints API. ...

🔍 Contexte Publié le 30 juin 2026 par Huntress (mise à jour le 2 juillet 2026), cet article présente une analyse technique détaillée d’une campagne de password spray en cours ciblant des environnements Microsoft 365, observée entre le 12 et le 26 juin 2026. 📊 Ampleur de l’attaque Entre le 12 et le 26 juin 2026, Huntress a enregistré : Plus de 81 millions de tentatives de connexion contre des comptes clients Huntress 78 comptes Microsoft compromis dans 64 organisations Un pic significatif le 22 juin : 30 comptes dans 23 entreprises impactés en une journée Une augmentation de 155 fois du volume d’attaques par credential spray sur les 6 derniers mois 🛠️ Techniques d’attaque Les attaquants ont utilisé : ...