Enquête sur MFA dans Microsoft 365 : les écarts au niveau des comptes

L’enquête menée par Act en septembre 2026 auprès de 1 002 personnes chargées de Microsoft 365 dans des entreprises privées de 100 à 999 salariés rapporte que 89,8 % des entreprises touchées ou suspectées appliquaient MFA. Parmi les comptes concernés, deux catégories de lacunes totalisaient 64,4 %. TechTarget Japan a publié ces résultats le 29 octobre 2026.

Dans cet article

• Ce que révèle l’enquête d’Act
• Des contrôles de sécurité peu réexaminés
• Comment une session peut être détournée après MFA
• Après un compte compromis, traiter aussi la session

Ce que révèle l’enquête d’Act

La période examinée allait de septembre 2025 à septembre 2026. Selon TechTarget Japan, 71,5 % des entreprises interrogées ont déclaré un accès non autorisé, une compromission de compte ou un soupçon de l’un de ces incidents.

Les chiffres rapportés distinguent les entreprises des comptes touchés ou suspectés :

Les 64,4 % correspondent à la somme des comptes dont MFA était désactivée ou exclue (43,0 %) et de ceux présentant un problème de méthode ou de configuration (21,4 %). Ce chiffre porte sur les comptes touchés ou suspectés, tandis que les 89,8 % concernent des entreprises.

Des contrôles de sécurité peu réexaminés

Dans l’enquête, 82,6 % des répondants avaient déjà utilisé des recommandations de sécurité pour vérifier les paramètres, et 67,1 % se disaient confiants dans leur configuration. Ils étaient 32,7 % à déclarer examiner régulièrement les réglages.

Les contrôles n’étaient pas tous examinés au même rythme : 40,4 % déclaraient revoir l’Accès conditionnel et 32,2 % la protection des comptes administrateur. Les taux rapportés tombaient à 11,0 % pour les permissions des applications OAuth et à 10,1 % pour les journaux d’audit ou les alertes.

Les intégrations d’outils d’IA, dont Microsoft 365 Copilot, étaient signalées par 90,1 % des entreprises. Pourtant, 29,4 % examinaient régulièrement les permissions d’accès associées. Une revue régulière des rôles privilégiés était déclarée par 38,6 % des répondants.

Les obstacles cités le plus souvent étaient le manque de clarté des écrans ou options de configuration (32,5 %) et le risque de perturber le travail ou les intégrations existantes (31,8 %). Le coût des licences de niveau supérieur, comme Microsoft 365 E5, était cité par 10,8 %.

Comment une session peut être détournée après MFA

Microsoft décrit des attaques d’hameçonnage dites adversary-in-the-middle (AiTM), où un intermédiaire relaie la connexion réelle et l’échange MFA. L’attaquant peut récupérer le cookie de session créé après l’authentification, puis le réutiliser pour accéder à la session sans demander une nouvelle validation MFA.

Dans une autre campagne, Microsoft a décrit l’ajout d’une méthode de validation par code à usage unique sur téléphone après le vol d’une session et l’exploitation de contrôles faibles lors de la modification des méthodes MFA. Ces mécanismes sont distincts des incidents de l’enquête d’Act.

Microsoft continue de présenter MFA comme une protection essentielle et recommande de la compléter par des méthodes résistantes à l’hameçonnage et des contrôles d’accès. Parmi les méthodes citées figurent les clés d’accès, les clés de sécurité FIDO2, l’authentification par certificat et Windows Hello for Business, pris en charge par Microsoft Entra.

Après un compte compromis, traiter aussi la session

Dans son analyse de la campagne distincte, Microsoft recommande de réinitialiser les identifiants, de révoquer les sessions et d’annuler les modifications MFA non autorisées. Un changement de mot de passe seul ne révoque pas nécessairement une session déjà dérobée ni une méthode d’authentification ajoutée par un attaquant.