Campagne de token replay M365 : 79 organisations compromises via AiTM et 1337 Services GmbH
🔍 Contexte Publié le 22 octobre 2026 par Huntress (Andrea Hatcher, Susannah Matt, Matt Poto, Andrew Schwartz), cet article documente une campagne de token replay ciblant Microsoft 365 observée sur une période de dix semaines, du 14 juillet au 22 septembre 2026. 🎯 Mécanisme d’attaque L’attaquant n’a jamais eu besoin de mots de passe. La chaîne d’attaque repose sur : Des relais adversary-in-the-middle (AiTM) capturant les tokens de session post-MFA via de fausses pages de connexion Du device-code phishing (victimes trompées pour entrer un code sur la vraie page Microsoft) De l’ingénierie sociale lors de processus de connexion légitimes Les tokens volés étaient ensuite rejoués en masse depuis le bloc IP 193.26.115.0/24 appartenant à 1337 Services GmbH (AS210558, Hamburg, Allemagne), dans un schéma qualifié de « token spraying » (analogue au password spraying mais avec des tokens volés). ...