← Tous les articles Cybersécurité

81 millions de tentatives : vos anciens mots de passe sont devenus une arme

20 juillet 2026 · 5 min de lecture · par SabiSys

Entre le 12 et le 26 juin, un seul groupe d'attaquants a lancé plus de 81 millions de tentatives de connexion contre des comptes Microsoft 365. Pas de virus, pas de piège sophistiqué : simplement des mots de passe volés lors d'anciennes fuites, essayés en masse, compte par compte. Résultat : au moins 78 comptes compromis dans 64 organisations, parfois malgré la double authentification. Voici pourquoi votre PME est concernée, et ce qu'il faut vérifier cette semaine.

Une attaque sans aucune finesse, et pourtant efficace

La technique s'appelle le « password spraying », l'arrosage de mots de passe. Les attaquants récupèrent les milliards d'identifiants qui circulent depuis des années sur le web suite aux fuites de données de sites comme LinkedIn, Dropbox ou des milliers de boutiques en ligne. Puis ils les essaient, automatiquement, sur les connexions Microsoft 365 de milliers d'entreprises.

Le calcul est simple : si un de vos collaborateurs utilise sur sa messagerie professionnelle le même mot de passe que sur un site piraté il y a cinq ans, la porte s'ouvre. Et ce phénomène n'a rien d'exceptionnel : les spécialistes qui ont détecté cette campagne observent en moyenne près de 2 000 tentatives de connexion frauduleuses par mois et par entreprise. Vos comptes sont testés en permanence, même si personne ne vous vise personnellement.

Le détail qui change tout : le MFA contourné

Le plus inquiétant dans cette campagne n'est pas le volume, c'est la méthode de connexion. Les attaquants ne passaient pas par la page de connexion habituelle, mais par un outil technique de Microsoft (l'interface en ligne de commande Azure) et par un ancien mode d'authentification qui transmet directement le mot de passe, sans jamais déclencher la demande de double authentification.

Autrement dit : des entreprises qui avaient activé le MFA et se croyaient protégées ont été compromises quand même, parce que cette porte de service restait ouverte dans leur configuration. C'est une leçon que nous répétons souvent chez nos clients : activer une option de sécurité ne suffit pas, il faut aussi fermer les chemins qui permettent de la contourner. Dans Microsoft 365, cela se règle avec des stratégies d'accès conditionnel correctement construites, qui bloquent les protocoles hérités et les modes de connexion à risque.

Cinq vérifications à faire cette semaine

Bonne nouvelle : tout ce qui bloque ce type d'attaque existe déjà dans la plupart des abonnements Microsoft 365. Encore faut-il que ce soit configuré. Voici par où commencer.

1. Bloquez l'authentification héritée. C'est la porte de service utilisée dans cette campagne. Une stratégie d'accès conditionnel qui interdit les protocoles anciens et les connexions sans MFA ferme le chemin le plus emprunté par les attaquants.
2. Vérifiez si vos adresses ont fuité. Des services gratuits comme haveibeenpwned.com indiquent si les adresses email de votre entreprise apparaissent dans des fuites de données connues. Si oui, les mots de passe concernés doivent être changés partout où ils sont réutilisés.
3. Imposez des mots de passe uniques. Le vrai problème n'est pas le mot de passe faible, c'est le mot de passe réutilisé. Un gestionnaire de mots de passe d'entreprise règle la question une fois pour toutes, sans effort de mémoire pour vos équipes.
4. Réservez l'accès aux appareils de l'entreprise. Avec l'accès conditionnel et Intune, seuls les ordinateurs gérés et conformes atteignent vos données. Même avec un mot de passe valide, une connexion depuis une machine inconnue est refusée.
5. Surveillez les tentatives de connexion. Ces 81 millions de tentatives ont laissé des traces dans les journaux de connexion des entreprises visées. Encore faut-il que quelqu'un les regarde. Une supervision régulière repère la campagne en cours avant le compte compromis.

Et concrètement, pour votre entreprise ?

Ces réglages ne demandent pas d'acheter de nouvelles licences dans la plupart des cas : ils demandent de savoir où regarder dans une console d'administration que peu de PME ont le temps d'explorer. C'est exactement le genre de vérification que nous faisons au quotidien pour nos clients sous contrat, et que nous pouvons faire pour vous. Commencez par notre check-up sécurité gratuit : onze questions, trois minutes, et vous saurez où vous en êtes. Ou demandez directement un audit gratuit et sans engagement : nous vérifions sur place votre configuration Microsoft 365, y compris ces fameuses portes de service.