Le 26 octobre 2026, The Hacker News a rapporté que Huntress avait observé une campagne de rejeu de jetons ayant compromis 97 comptes Microsoft 365 dans 79 organisations, entre le 14 juillet et le 22 septembre 2026. Huntress a également comptabilisé 497 connexions réussies parmi plus de 200 000 tentatives. Ces chiffres décrivent les observations attribuées à Huntress.
Comment le jeton a été rejoué après la connexion
Selon le scénario décrit par Huntress, une page d’interception relayait les identifiants et les codes MFA de la victime vers l’infrastructure légitime de Microsoft. L’attaquant récupérait ensuite le jeton émis après l’authentification et le rejouait depuis son propre appareil. Un jeton est une preuve numérique qui permet de poursuivre une session sans ressaisir les identifiants à chaque étape. Huntress a aussi cité l’hameçonnage par code d’appareil et l’ingénierie sociale comme moyens d’obtenir des jetons.
Huntress a qualifié de « token spraying » le rejeu de jetons volés à grande échelle dans plusieurs organisations. L’appellation décrit la portée du mode opératoire rapporté, pas un autre type de mot de passe.
Les traces signalées dans les comptes
Huntress a recensé 48 inscriptions d’appareils Entra non autorisés. Dans au moins 19 organisations, les attaquants auraient supprimé des méthodes MFA existantes et enregistré une nouvelle méthode dans les trois heures suivant la première connexion. Dans un cas daté du 21 juillet 2026, un nouvel authentificateur nommé « iPhone 13 » a été activé moins de 51 minutes après le détournement d’une session.
Les règles de boîte de réception signalées supprimaient ou détournaient des messages liés à la paie, aux dépôts ou aux primes. Dans un cas, une règle marquait tous les messages entrants comme lus avant de les supprimer.
Ce que couvre Microsoft Token Protection
Microsoft Conditional Access Token Protection associe cryptographiquement certains jetons d’actualisation à un appareil. La documentation de Microsoft exige un Primary Refresh Token (PRT, jeton d’actualisation principal) et décrit la prise en charge des applications natives Windows qui se connectent à Teams, SharePoint et Exchange. Les appareils non enregistrés dépourvus de PRT se situent hors du périmètre décrit par Microsoft. Token Protection ne couvre donc pas tous les appareils et toutes les applications.
La documentation Microsoft sur la protection des jetons recommande aussi des défenses complémentaires : sécuriser les appareils, appliquer des règles Conditional Access aux appareils conformes, surveiller les risques et utiliser des contrôles réseau pour les scénarios qui échappent à la protection. Microsoft conseille de limiter le flux de code d’appareil aux cas où il est nécessaire, car il peut servir à l’hameçonnage ou à accéder aux ressources de l’entreprise depuis un appareil non géré.
Examiner une connexion suspecte
Une localisation inhabituelle ne suffit pas à établir qu’un jeton a été volé. Dans une discussion sur Spiceworks, un participant conseille de vérifier dans les détails d’authentification si le MFA a été demandé ou si le contrôle avait déjà été satisfait, puis de comparer l’identifiant de l’appareil à celui d’un appareil connu. Microsoft répertorie aussi les détections « Anomalous Token », « Attacker in the Middle » et « Unfamiliar sign-in properties ».
Pour les comptes touchés, les recommandations attribuées à Huntress comprennent la révocation des sessions et la réinitialisation des mots de passe, ainsi que l’audit des appareils Entra et des méthodes MFA. Il faut également examiner les règles de boîte de réception et les applications d’entreprise inattendues, puis restreindre le flux de code d’appareil avec Conditional Access lorsque l’organisation n’en a pas besoin.
