La double authentification arrête la grande majorité des tentatives d’intrusion sur un compte Microsoft 365. Si elle n’est pas encore active pour toute votre équipe, c’est la première chose à faire. Elle a pourtant ses limites, et les attaques actuelles visent précisément ces limites.
Comment on contourne un code
La méthode la plus répandue est la fausse page de connexion. Un e-mail renvoie vers une page qui ressemble trait pour trait à celle de Microsoft. La personne saisit son mot de passe, puis le code reçu sur son téléphone. La page transmet les deux au vrai site, en direct, et récupère la session ouverte. L’intrus est connecté, et il n’aura plus besoin de code tant que cette session reste valable.
Il existe une variante plus simple : l’attaquant, qui connaît déjà le mot de passe, déclenche des demandes de validation à répétition, souvent tard le soir, jusqu’à ce que quelqu’un appuie sur « Approuver » par lassitude ou par erreur. L’affichage d’un numéro à recopier, désormais généralisé, a rendu cette méthode plus difficile, sans la faire disparaître.
Dans les deux cas, la double authentification a fonctionné comme prévu. C’est la personne qui a été trompée.
Vérifier d’où vient la connexion
La réponse la plus efficace consiste à ne plus se contenter du bon code. Des règles d’accès vérifient le contexte de chaque connexion : vient-elle d’un ordinateur de l’entreprise, d’une application protégée, d’un pays où travaille votre équipe ? Une session ouverte par une fausse page, depuis la machine d’un inconnu, ne remplit pas ces conditions et se trouve bloquée, même avec le mot de passe et le code.
Ces règles font partie de Microsoft 365 Business Premium. Elles demandent d’être réglées avec soin, pour ne pas bloquer un collaborateur en déplacement ou un administrateur qui doit intervenir. C’est l’une des raisons pour lesquelles nous recommandons Premium, comme nous l’expliquons dans Business Standard ou Business Premium : lequel choisir ?
Des connexions qu’une fausse page ne peut pas imiter
Les clés d’accès, la connexion par empreinte digitale ou par reconnaissance faciale sur un ordinateur de l’entreprise, et les clés de sécurité physiques reposent sur un principe différent : elles ne fonctionnent que sur le vrai site de Microsoft. Une fausse page n’a rien à relayer. Pour les comptes d’administration en particulier, ces méthodes devraient être la norme.
Moins de pièges dans la boîte de réception
Le filtrage avancé des e-mails vérifie les liens au moment du clic. Une page piégée détectée après l’envoi du message est bloquée quand même. Il ne remplace pas les règles d’accès, mais il réduit le nombre de fois où quelqu’un doit faire le bon choix.
Et si une connexion passe malgré tout
Aucune protection n’est parfaite. Une connexion inhabituelle (un pays inattendu, un appareil inconnu, une règle de transfert créée en pleine nuit) doit être remarquée et traitée vite : compte bloqué, sessions fermées, cause comprise. Dans l’offre Cloud, la protection des comptes est en place dès le départ. Pour les organisations plus exposées, une surveillance 24/7 ajoute quelqu’un qui veille et réagit à toute heure ; nous en parlons au cas par cas, selon votre situation.
