Sécurité Microsoft 365 : menaces et défense
La sécurité Microsoft 365 consiste à protéger l'identité, la messagerie et les données dans l'écosystème cloud Microsoft. La principale menace aujourd'hui n'est pas le mot de passe mais la session : les attaques AiTM et le vol de jeton OAuth contournent le MFA classique, suivis de BEC et de fraude. La défense exige une protection de l'identité après authentification (ITDR), un anti-phishing AiTM et une détection & réponse continue sur la plateforme Defender.
Le périmètre, c’est l’identité
Avec Microsoft 365, les données et l’identité vivent dans le cloud : le périmètre n’est plus le réseau, c’est l’identité. Les attaquants le savent et ont cessé de voler des mots de passe : ils volent des sessions. C’est le changement de paradigme qui rend le MFA classique nécessaire mais désormais insuffisant.
La session est le nouvel identifiant
Dans les attaques AiTM et device-code, l’attaquant capture le jeton de session après une authentification légitime : il entre dans M365 sans déclencher d’alertes, parfois pendant des semaines. De là commence le BEC : règles de boîte mail pour masquer les alertes, détournement de paiements, exfiltration, le tout avec des API légitimes.
Défendre M365 pour de vrai
Trois leviers : l’identité (ITDR, Conditional Access avancé, FIDO2/passkey), l’anti-phishing AiTM qui bloque avant la saisie des identifiants, et une détection & réponse continue sur la plateforme Defender et Sentinel, opérée par un SOC 24·7. Le service : MDR sur Microsoft Defender.
Menace M365 → défense
| Menace | Ce qu'elle fait | Défense |
|---|---|---|
| Phishing AiTM | Intercepte identifiants et jetons en reverse-proxy | Anti-phishing AiTM, FIDO2/passkey |
| Vol de jeton OAuth | Utilise la session, contourne le MFA | ITDR, détection d'anomalies post-auth |
| BEC | Fraude via boîte mail compromise | Détection comportementale, MDR |
L'analyse de la plateforme PhaaS Kali365 (800 domaines cartographiés) montre comment le vol de jeton OAuth après une authentification légitime contourne le MFA classique sur Microsoft 365 : la preuve qu'une protection de l'identité après authentification est nécessaire.
Lire l'analyse →Questions fréquentes.
Le MFA suffit-il à protéger Microsoft 365 ?
Non, pas à lui seul. Les attaques AiTM et le vol de jeton de session contournent le MFA classique en dérobant la session après authentification. Il faut FIDO2/passkey, un anti-phishing AiTM et une protection de l'identité après authentification (ITDR).
Qu'est-ce qu'une attaque AiTM sur M365 ?
L'AiTM (Adversary-in-the-Middle) est un phishing en reverse-proxy qui intercepte identifiants et jetons de session en temps réel, permettant l'accès même avec le MFA activé. Voir protection phishing AiTM.
Qu'est-ce que le BEC (Business Email Compromise) ?
C'est une fraude qui part d'une boîte mail compromise : l'attaquant lit les échanges, s'y insère et détourne paiements ou données. Elle n'utilise aucun malware : jetons et API légitimes, l'endpoint ne voit donc rien.
Comment protéger Microsoft 365 ?
L'identité (ITDR, Conditional Access, FIDO2), l'anti-phishing AiTM et une détection & réponse continue sur la plateforme Defender et Sentinel opérée par un SOC 24·7. Voir MDR sur Microsoft Defender.
De la théorie à une opération réelle.
Ce que vous lisez ici, Fortgale le met en œuvre chaque jour avec un SOC européen 24·7·365 : 287 outils et acteurs profilés, <30 min de confinement médian. Voir le service : MDR sur Microsoft Defender.
Ressources liées : Protection phishing AiTM · Protection de l'identité (ITDR) · Qu'est-ce que le MDR
Une conversation technique, pas un funnel.
Laissez vos coordonnées : un analyste vous rappelle sous un jour ouvré. SOC européen, même fuseau horaire, intelligence propriétaire sur les acteurs actifs dans l'UE.