https://cyberveille.ch/tags/token-replay/ Recent content in Token Replay on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Tue, 27 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-27-campagne-de-token-replay-m365-79-organisations-compromises-via-aitm-et-1337-services-gmbh/ Tue, 27 Oct 2026 00:00:00 +0100 https://cyberveille.ch/posts/2026-10-27-campagne-de-token-replay-m365-79-organisations-compromises-via-aitm-et-1337-services-gmbh/ <h2 id="-contexte">🔍 Contexte</h2> <p>Publié le 22 octobre 2026 par Huntress (Andrea Hatcher, Susannah Matt, Matt Poto, Andrew Schwartz), cet article documente une campagne de <strong>token replay ciblant Microsoft 365</strong> observée sur une période de dix semaines, du 14 juillet au 22 septembre 2026.</p> <h2 id="-mécanisme-dattaque">🎯 Mécanisme d&rsquo;attaque</h2> <p>L&rsquo;attaquant n&rsquo;a jamais eu besoin de mots de passe. La chaîne d&rsquo;attaque repose sur :</p> <ul> <li>Des <strong>relais adversary-in-the-middle (AiTM)</strong> capturant les tokens de session post-MFA via de fausses pages de connexion</li> <li>Du <strong>device-code phishing</strong> (victimes trompées pour entrer un code sur la vraie page Microsoft)</li> <li>De l&rsquo;<strong>ingénierie sociale</strong> lors de processus de connexion légitimes</li> </ul> <p>Les tokens volés étaient ensuite rejoués en masse depuis le bloc IP <strong>193.26.115.0/24</strong> appartenant à <strong>1337 Services GmbH</strong> (AS210558, Hamburg, Allemagne), dans un schéma qualifié de « token spraying » (analogue au password spraying mais avec des tokens volés).</p>