Des cyberpirates ont essayé des millions de mots de passe sur Microsoft Entra ID sans déclencher aucune alerte

En 2026, une nouvelle technique d’attaque informatique a été révélée, démontrant à quel point la cybersécurité face aux cyberpirates reste un défi majeur. Des pirates ont exploité une faille dans l’identification OAuth des applications Microsoft pour mener des tentatives massives sur Microsoft Entra ID, testant des millions de mots de passe sans jamais déclencher une alerte de sécurité. Cette méthode sophistiquée permet à des attaquants de passer inaperçus tout en sondant en profondeur les comptes d’entreprises et d’organisations. Comprendre ce procédé et ses implications devient crucial pour toute équipe en charge de la sécurité informatique.

Cette attaque met en lumière les limites actuelles de certains systèmes de protection, notamment le fait que les tentatives d’intrusion peuvent rester invisibles aux outils de surveillance traditionnels. Des campagnes documentées par Proofpoint ont ciblé plus de 3 millions de comptes, utilisant des identifiants falsifiés pour contourner les mécanismes de défense. Ces découvertes appellent à une vigilance accrue et à la mise en place de stratégies de défense renouvelées face à ces formes d’attaques invisibles.

Comment les cyberpirates exploitent Microsoft Entra ID sans alerter la sécurité

Le cœur de cette attaque repose sur l’usurpation d’identifiants OAuth attribués aux applications connectées à Microsoft Entra ID, anciennement connu sous le nom d’Azure Active Directory. Chaque application possède un client ID unique, similaire à un badge d’accès. Les assaillants utilisent des client ID falsifiés ou expirés, ce qui leur permet d’interroger Microsoft Entra ID en toute discrétion. Cette clé d’accès frauduleuse contourne les mécanismes de contrôle habituels et évite de déclencher la moindre alerte de sécurité.

En cherchant à reproduire l’attaque, les chercheurs ont utilisé une méthode appelée ROPC (Resource Owner Password Credentials flow). En envoyant des requêtes avec des identifiants erronés ou inventés, ils ont découvert que les messages d’erreur diffèrent selon la validité du couple identifiant-mot de passe. Cette subtilité permet aux pirates d’identifier :

• Les comptes existants
• Les bons mots de passe
• La présence de protections comme la double authentification

Le plus inquiétant est qu’ils peuvent déterminer si un couple identifiant-mot de passe est valide sans jamais réussir à se connecter, rendant toute tentative invisible dans les logs et empêchant ainsi toute réaction efficace des équipes de sécurité.

Les conséquences d’une faille invisible sur la sécurité des entreprises en 2026

Cette vulnérabilité présente un gros risque car elle échappe aux systèmes traditionnels de détection. En effet, les enregistrements de connexion montrent un badge client ID sans nom d’application associé, ce qui laisse les outils de sécurité incapables d’interpréter l’anomalie. De plus, les politiques d’accès conditionnel, censées limiter les connexions à des applications spécifiques, ne s’activent pas face à ces faux badges. Ce mécanisme prive alors les équipes de sécurité d’un rempart essentiel.

Le tableau ci-dessous résume les différences entre une connexion légitime et une tentative d’intrusion utilisant un client ID falsifié :

Aspect analysé Connexion légitime Tentative avec client ID usurpé

Identification de l’application Nom de l’application clairement identifié Nom absent ou champ vide

Déclenchement d’alerte de sécurité Oui, en cas d’anomalie Non, aucune alerte générée

Politiques d’accès conditionnel Activées selon règles établies Non activées grâce au contournement

Traçabilité dans les journaux Enregistrement complet des connexions Logs incomplets, invisibilité de l’attaque

Deux campagnes majeures de piratage ont illustré cette faille de cybersécurité

Deux vagues d’attaque ont été repérées cette année exploitant cette fragilité. La première, appelée UNK_pyreq2323, a débuté en janvier 2026 et a utilisé plus de 700 000 identifiants falsifiés basés sur l’application Exchange Online. Cette opération a touché plus d’un million d’utilisateurs dans environ 4 000 organisations. Cette intense activité a même provoqué le verrouillage automatique de 28 % des comptes ciblés, ce qui a alerté sans toutefois expliquer l’origine du problème.

La deuxième campagne, nommée UNK_OutFlareAZ, a démarré en décembre 2025 et s’est intensifiée à partir de février. Cette fois, les méthodes ressemblaient à un client Outlook légitime pour brouiller les pistes. Plus ambitieuse, elle a testé 3,7 millions d’identifiants falsifiés sur plus de 2 millions de comptes. Les attaquants utilisaient des listes de noms génériques, ce qui montre qu’il s’agissait davantage d’une attaque de masse et non d’une cible précise.

Les mots de passe et identifiants les plus ciblés par les cyberpirates

Les pirates privilégient des noms très classiques et génériques, par exemple des combinaisons comme jsmith, ssmith ou msmith, qui apparaissaient dans des centaines d’entreprises différentes. Leur stratégie repose sur l’exploitation de dictionnaires de mots de passe courants pour maximiser leurs chances de réussite sur de multiples organisations sans discrimination précise.

• Utilisation d’identifiants réutilisant des préfixes communs
• Recyclage des faux badges sur plusieurs comptes simultanément
• Génération aléatoire de client IDs pour éviter la détection
• Exploitation des erreurs de reconnaissance dans les logs

Face à ce phénomène, il est vital de surveiller de près les logs où l’application n’est pas identifiée, ainsi que de prendre très au sérieux certaines erreurs techniques que l’on pourrait considérer à tort comme anodines, car elles traduisent souvent des identifiants compromis.

Comment renforcer la sécurité contre ces tentatives d’intrusion

Les professionnels de la cybersécurité recommandent plusieurs mesures pour limiter l’impact de ce type d’attaque :

• Surveillance accrue des logs et détection des identifiants clients sans application associée.
• Renforcement des politiques d’accès conditionnel en intégrant des vérifications supplémentaires sur l’authenticité du client ID.
• Mise en place d’une authentification multi-facteurs indispensable pour éviter la compromission des comptes même si le mot de passe est découvert.
• Formation et sensibilisation des équipes IT au danger des attaques OAuth et des techniques de contournement récentes.
• Recours à des outils de cybersécurité avancés capables de détecter les schémas d’attaques invisibles aux systèmes classiques.

Cette situation rappelle également certains autres défis majeurs comme les attaques DDoS record ou le renforcement des régulations sur la cybersécurité européenne, soulignés dans des articles récents comme ceux sur le botnet Aisuru ou la régulation des algorithmes en 2026.

Comment les cyberpirates utilisent-ils l’usurpation d’identification OAuth ?

Ils falsifient le client ID des applications pour interroger Microsoft Entra ID sans alerter la sécurité, leur permettant de tester des millions de mots de passe en toute discrétion.

Pourquoi ces attaques restent-elles invisibles dans les journaux de connexion ?

Parce que les tentatives utilisent de faux identifiants clients qui ne sont pas reconnus comme des applications légitimes, masquant ainsi toute trace d’accès réussi.

Quelles mesures peuvent renforcer la sécurité contre cette faille ?

Surveiller les logs, renforcer les politiques d’accès, appliquer l’authentification multi-facteurs et former les équipes IT à reconnaître ces attaques.

Cette technique cible-t-elle des entreprises spécifiques ?

Non, les attaques sont massives et utilisent des listes génériques de noms d’utilisateur pour toucher un maximum d’organisations sans discrimination.