Cybermenace Comprendre l’attaque AiTM

Une menace en forte recrudescence cible depuis plusieurs mois les environnements Microsoft 365 : les attaques de type AiTM (Adversary-in-the-Middle).

Déclenchées par une demande de connexion ou une sollicitation liée à un partage de document, ces attaques proviennent souvent d’un phishing particulièrement crédible et restent difficiles à contrer, les barrières techniques étant encore limitées, incomplètes ou insuffisamment déployées.

Comment s’en prémunir et quelles solutions mettre en place ?

ACESI vous en dit plus ⬇️

Plusieurs techniques mais un même objectif : compromettre votre compte Microsoft

Longtemps perçue comme une attaque reposant uniquement sur le vol d’identifiants, cette menace a évolué. Aujourd’hui, les attaquants ne cherchent plus seulement à récupérer un mot de passe : ils cherchent à intercepter ou obtenir directement un jeton de session valide, ce qui leur permet d’accéder au compte sans nouvelle demande d’authentification. C’est précisément ce qui rend ces attaques particulièrement efficaces, y compris dans des environnements déjà protégés par une authentification multifacteur.

Mais toutes les attaques ne reposent pas sur le même mécanisme. Derrière le terme générique « AiTM », on retrouve en réalité plusieurs modes opératoires.

Certains utilisent un proxy malveillant placé entre l’utilisateur et Microsoft 365, comme dans les campagnes reposant sur EvilProxy.

D’autres, plus récentes, exploitent au contraire un flux d’authentification légitime, comme le device code flow OAuth 2.0 détourné par Kali365, sans même avoir besoin d’intercepter le mot de passe de la victime.

Comprendre cette différence est essentiel : car si ces deux techniques poursuivent le même objectif (compromettre un compte Microsoft 365 malgré la MFA) elles ne se défendent pas exactement de la même manière.

Scénario 1 : Attaque AiTM via Evil Proxy

Interception de session en temps réel (malgré le MFA)

Dans un premier scénario, le processus suit un schéma désormais bien connu.

• L’utilisateur reçoit une notification légitime en apparence, du type « Quelqu’un a partagé un fichier avec vous « , « Une signature vous attend », ou « Veuillez consulter ce document ».
• Le lien mène ensuite vers une page d’authentification imitant parfaitement Microsoft 365 ou relayant en temps réel la véritable page de connexion via un serveur intermédiaire contrôlé par l’attaquant.
• L’utilisateur saisit alors ses identifiants, son mot de passe, puis valide sa MFA.
• C’est à ce moment que l’attaquant intercepte la session authentifiée et récupère le cookie ou le jeton de session exploitable.
• Le compte peut ensuite être utilisé sans nouvelle demande d’authentification.

Scénario 2 : Attaque AiTM via KALI365

Détournement de l’autorisation

Dans un second scénario, plus récent et plus déstabilisant pour les utilisateurs, la mécanique est différente. La victime ne se connecte pas à une fausse page. Au contraire, elle est dirigée vers une véritable page Microsoft de vérification d’appareil, avec un code qui lui a été transmis dans le message de phishing.

En entrant ce code sur la page officielle, elle n’authentifie pas sa propre session : elle autorise en réalité l’appareil de l’attaquant à obtenir des jetons OAuth d’accès à son compte. C’est le principe des campagnes attribuées à Kali365.

Ici, le mot de passe n’est pas volé, c’est l’autorisation elle-même qui est détournée.

La sensibilisation, premier rempart contre la propagation

Dans les deux cas, l’attaque se propage ensuite en véritable cascade : accès aux emails, aux fichiers OneDrive et SharePoint, création de règles de redirection, envois de messages frauduleux depuis la boîte compromise à tous les contacts externes donnant lieu à une potentielle compromission de comptes partenaires et clients.

La sensibilisation des utilisateurs reste indispensable face à des attaques de plus en plus crédibles, y compris lorsqu’elles s’appuient sur des pages Microsoft légitimes comme dans les campagnes Kali365.

Faire évoluer sa défense : un changement nécessaire de maturité

La réalité est simple : L’authentification multifacteur (MFA) seule n’est plus suffisante. La mise en place d’accès conditionnels seuls, si trop générique, ne l’est plus non plus. L’enjeu n’est plus uniquement de vérifier qu’un utilisateur s’authentifie, mais de s’assurer que la méthode d’authentification résiste au phishing, que la session ne peut pas être rejouée facilement, et que certains scénarios d’autorisation détournée sont explicitement bloqués.

Les mesures de protection recommandées

• Face à une attaque de type EvilProxy, les mesures les plus efficaces consistent à déployer une MFA résistante au phishing (FIDO2, passkeys ou des méthodes équivalentes) et à renforcer les politiques d’accès conditionnel autour de la conformité du terminal, de l’identité du poste et du niveau de confiance accordé à la session (Zéro Trust).

• Face à une attaque de type Kali365, la priorité est différente : il faut restreindre ou bloquer le device code flow, identifier les usages métiers réellement nécessaires avant d’appliquer le blocage, limiter les mécanismes de transfert d’authentification, et surveiller plus finement les créations de sessions, les émissions de jetons et les comportements d’accès aux services Microsoft 365.

Au-delà des mécanismes de prévention, la capacité de détection et de réponse rapide est essentielle dans le cadre des attaques AiTM. En effet, même avec des contrôles avancés, certaines attaques peuvent aboutir et nécessitent une identification et une remédiation rapides.

Réduire efficacement les risques

Pour réduire efficacement le risque, les équipes Cyber d’ACESI recommandent la mise en place de contrôles de sécurité avancés :

• Microsoft Entra ID – User Risk & Sign-in Risk (licence Microsoft E5, Entra P2)
  • Détection des connexions et comptes à risque basée sur l’analyse comportementale et contextuelle. 
  • Mise en œuvre de mécanismes de remédiation automatique (blocage, réauthentification, réinitialisation de mot de passe) selon les politiques définies. 
  • Contribution à la détection rapide d’une compromission liée à une attaque AiTM et à la limitation de sa durée d’exploitation.

• Sophos ITDR (Identity Threat Detection & Response)
  • Détection des comportements anormaux et des usages suspects des identités (post-authentification).
  • Identification rapide des comptes compromis et des actions malveillantes associées (règles de messagerie, accès inhabituels, propagation).
  • Accélération des actions de confinement (blocage de compte, révocation des sessions) et réduction du risque de propagation vers d’autres utilisateurs ou partenaires.

Rapidité de réaction et réponse à incident

En cas de compromission, la rapidité de révocation des sessions, de l’analyse et de la remédiation conditionne directement l’impact de l’attaque, et doit s’accompagner d’une phase d’investigation permettant d’identifier précisément les accès obtenus, les données potentiellement exposées ou exfiltrées et les actions réalisées par l’attaquant.

Acesi vous accompagne Evaluez votre exposition aux cybermenaces

Demandez une expertise

Nos équipes sont à votre disposition pour approfondir ces mécanismes, évaluer votre exposition et vous accompagner dans la mise en place des protections adaptées.

Contactez-nous pour planifier un rendez-vous avec l’un de nos consultants.