Entre le 12 et le 26 juin 2026, une campagne de password spray a généré 81 millions de tentatives de connexion sur des tenants Microsoft 365, compromettant 78 comptes dans 64 organisations (Huntress, relayé par BleepingComputer). Le détail le plus instructif : lors du pic du 22 juin, 15 des 23 organisations touchées avaient la MFA activée. Soyons précis : la MFA n’est pas devenue inutile. Mais une MFA mal déployée laisse des angles morts que les attaquants exploitent désormais à l’échelle industrielle. Cet article détaille ces angles morts, les 6 contrôles à lancer dès demain matin sur vos tenants, et la façon d’en faire une prestation managée récurrente.
1/ Ce que révèle la campagne de juin
Les chiffres publiés par Huntress donnent la mesure du phénomène : le volume de credential spray observé sur sa base clients a été multiplié par 155 en six mois, avec une moyenne d’environ 1 964 tentatives échouées par tenant et par mois. Les attaques proviennent d’une plage IPv6 appartenant à l’hébergeur LSHIY LLC (AS32167), l’attaquant lui-même restant non identifié. Sa méthode : rejouer des identifiants issus de fuites de données passées, jamais renouvelés, via l’interface en ligne de commande Azure.
Le point clé : les comptes compromis ne l’ont pas été parce que la MFA a été « cassée », mais parce qu’elle n’était pas exigée partout. L’attaquant n’a rien forcé : il a emprunté les chemins d’authentification que personne n’avait fermés.
2/ Pourquoi la MFA seule ne protège pas un tenant Microsoft 365
Trois mécanismes d’Entra ID expliquent ces angles morts :
- Le flux ROPC (Resource Owner Password Credentials) : un mécanisme OAuth hérité qui accepte un simple couple identifiant / mot de passe. S’il n’est pas explicitement bloqué, il ne déclenche aucune vérification supplémentaire.
- L’authentification legacy (Basic Authentication, POP, IMAP, SMTP AUTH) : encore active sur de nombreux tenants anciens, elle ignore les politiques d’accès conditionnel.
- Les politiques d’accès conditionnel incomplètes : MFA exigée sur certaines applications seulement, groupes exclus « temporairement » depuis deux ans, localisations de confiance trop larges.
Microsoft fournit les briques pour fermer ces chemins : Security Defaults pour les petits tenants, politiques d’accès conditionnel gérées déployées automatiquement par Microsoft, Authentication Strength pour imposer une MFA résistante au phishing sur les comptes sensibles, Continuous Access Evaluation et Token Protection pour limiter le rejeu de jetons volés. Le problème n’est donc pas l’outillage : c’est que ces réglages doivent être appliqués, cohérents et maintenus dans le temps, sur chaque tenant.
3/ Les 6 contrôles à lancer dès demain matin
Avant toute discussion d’outillage, voici ce qu’un MSP peut vérifier immédiatement, tenant par tenant, dans Entra ID :
- Authentification legacy désactivée (Basic Auth, POP, IMAP, SMTP AUTH)
- Flux ROPC bloqué via l’accès conditionnel
- MFA effective sur 100 % des comptes administrateurs, avec Authentication Strength si possible
- Comptes break glass identifiés, surveillés, et leurs exclusions documentées
- Exclusions d’accès conditionnel revues : groupes, applications, localisations de confiance
- Comptes inactifs désactivés et consentements d’applications OAuth passés en revue
Sur le terrain, les audits de tenants font presque toujours remonter les mêmes constats : de l’authentification legacy oubliée pour un copieur ou un ERP, et des exclusions « provisoires » jamais refermées. Ce ne sont pas des cas exotiques, c’est la norme des environnements qui ont grandi sans baseline.
4/ Le vrai mur : maintenir cette hygiène sur 20, 60 ou 150 tenants
Dérouler ces contrôles sur un tenant prend une à deux heures. À l’échelle d’un parc MSP, la mécanique change de nature : 20 tenants représentent une semaine de travail, 60 tenants un mois, 150 tenants un poste à temps plein. Et l’exercice est à recommencer en permanence, car chaque tenant dérive : un technicien ajoute une exclusion en urgence, un client au portail d’administration modifie un réglage, une migration rouvre un protocole hérité.
Ouvrir chaque portail Entra ID un par un ne passe pas à l’échelle. C’est ce coût humain, et non la complexité technique, qui explique pourquoi la revue de configuration n’est presque jamais faite et pourquoi tant de tenants dérivent en silence.
5/ Industrialiser : Octiga pour la prévention, Netwrix 1Secure pour la détection
C’est exactement le problème que résout Octiga : le MSP définit une fois sa baseline de sécurité Microsoft 365 (MFA, accès conditionnel, réglages critiques), l’applique à l’ensemble de ses tenants clients depuis une console unique, puis laisse la plateforme détecter la dérive de configuration et proposer la remédiation. La revue qui mobilisait des jours de temps technicien devient un contrôle continu, avec un rapport par client utilisable comme preuve de service. Pour la protection des identités à l’échelle d’un parc, c’est la différence entre repeindre chaque maison à la main et gérer la copropriété.
Et quand un compte passe malgré tout entre les mailles ? Scénario classique observé après compromission : l’attaquant crée une règle de transfert Exchange discrète pour siphonner la boîte du dirigeant. Netwrix 1Secure détecte la modification, alerte le technicien en temps réel, la session est révoquée et la règle supprimée avant toute exfiltration. Incident évité, intervention documentée, et un rapport de conformité NIS2 / RGPD qui matérialise la valeur du service auprès du client.
6/ Transformer cette démarche en offre managée récurrente
Cette actualité est un levier commercial immédiat : vos clients ont vu les gros titres, à vous d’apporter la réponse structurée. Une vraie prestation se construit en quatre temps :
- Audit initial facturé : état des lieux par tenant (authentification legacy, ROPC, MFA, comptes admins et privilèges, exclusions d’accès conditionnel, comptes inactifs), avec un score de risque par client.
- Plan de remédiation : priorisation des corrections, validation des exceptions métier avec chaque client, application de la baseline via Octiga.
- Supervision continue : détection de dérive Octiga et alertes comportementales Netwrix 1Secure sur les identités.
- Reporting récurrent : rapport mensuel par client, facturé par utilisateur et par mois, qui rend le service visible et justifie la récurrence.
Résultat : du MRR additionnel sur une base installée existante, moins de temps technicien consommé, et une réponse démontrable le jour où un client demande « et nous, sommes-nous protégés ? ».
Conclusion
La campagne de juin 2026 ne condamne pas la MFA : elle sanctionne les déploiements incomplets. Les MSP qui vérifient les 6 contrôles ci-dessus, industrialisent leur baseline et surveillent leurs identités transforment un risque d’actualité en prestation récurrente. C’est toute la différence entre subir la sécurité Microsoft 365 et la vendre.
Pour toute question, contactez notre équipe Watsoft au 05 56 15 01 01, par e-mail à ventes@watsoft.com ou msp@watsoft.com.
FAQ
La MFA de mes clients est activée : sont-ils protégés contre le password spray ?
Pas nécessairement. Dans la campagne de juin 2026, la majorité des organisations compromises avaient la MFA activée. Si le tenant autorise encore le flux ROPC ou l’authentification legacy, ou si l’accès conditionnel comporte des exclusions non maîtrisées, un mot de passe fuité suffit.
Qu’est-ce que le flux ROPC et comment le bloquer ?
ROPC (Resource Owner Password Credentials) est un mécanisme OAuth hérité qui authentifie avec un simple couple identifiant / mot de passe, sans MFA. Il se bloque via une politique d’accès conditionnel ciblant les « autres clients » (legacy authentication clients) ou, sur les petits tenants, en activant les Security Defaults.
Les Security Defaults suffisent-ils pour mes petits clients ?
C’est un excellent point de départ : MFA pour tous et blocage de l’authentification legacy, sans licence supplémentaire. En revanche, ils ne permettent ni exclusions contrôlées, ni Authentication Strength, ni politiques par application. Dès qu’un client a des besoins spécifiques, il faut passer à l’accès conditionnel avec Entra ID P1.
Combien de temps prend le durcissement d’un parc de tenants avec Octiga ?
Une fois la baseline définie, son application est quasi instantanée sur l’ensemble des tenants. L’essentiel du travail se concentre sur l’audit initial et la validation des exceptions métier client par client : quelques heures par parc, contre plusieurs semaines en manuel.
