Le 23 octobre, Infosecurity Magazine a rapporté que Huntress avait enquêté sur une campagne mondiale visant des environnements Microsoft 365. L’enquête portait sur des connexions suspectes survenues entre juillet et septembre 2026 dans 79 organisations clientes. Huntress a rapporté au moins 200 000 tentatives de connexion, dont 497 réussies.
Ce que désigne le « token spraying »
Dans ce compte rendu, le « token spraying » désigne des tentatives automatisées qui rejouent des jetons de session volés. Le password spraying, lui, consiste à essayer des mots de passe sur plusieurs comptes. Un jeton de session est un justificatif numérique créé après une connexion. Selon le compte rendu, un attaquant muni d’un jeton volé pouvait accéder à la session sans répéter l’authentification multifacteur (MFA) pour cette session.
Les méthodes rapportées comprenaient le hameçonnage de type AiTM (adversary-in-the-middle), de fausses pages de connexion, le hameçonnage par code d’appareil et l’ingénierie sociale.
Une démonstration publiée par Elliot Munro en 2024 illustre séparément le vol et le rejeu d’un cookie de session, un mécanisme connexe.
Les changements utilisés pour tenter de conserver l’accès
Dans certains incidents, les attaquants auraient modifié les paramètres MFA, enregistré leur propre téléphone ou appareil dans Microsoft Entra et créé des règles cachées dans les boîtes de réception. Une boîte mail compromise aurait aussi servi à envoyer un message d’hameçonnage lié à la paie. La victime visée n’aurait apparemment effectué aucun paiement.
Les mesures recommandées par Huntress
Pour limiter les risques, Huntress a recommandé de configurer des politiques d’accès conditionnel qui exigent la MFA ou bloquent l’accès pour tous les utilisateurs, toutes les applications cloud et tous les types d’applications clientes.
En cas de suspicion de rejeu de jeton, Huntress recommande de révoquer les sessions, de réinitialiser les mots de passe, d’auditer les appareils et les méthodes MFA dans Microsoft Entra, puis d’examiner les règles de boîte de réception.
