Des jetons de session volés utilisés pour ouvrir des boîtes Microsoft 365 dans 79 organisations

Jetons de session Microsoft 365 rejoués dans 79 organisations : 497 connexions réussies et règles cachées. Étapes pour révoquer et auditer.

Entre le 14 juillet et le 22 septembre 2026, des attaquants ont accédé à des boîtes Microsoft 365 de 79 organisations en rejouant des jetons de session volés plutôt qu'avec des mots de passe.
La campagne a produit 497 authentifications réussies et les attaquants ont installé des règles de boîte de réception cachées.
L'impact est un accès non autorisé aux boîtes et la dissimulation de messages ; les équipes TI doivent révoquer les sessions et auditer les règles dès maintenant.

À faire maintenant

Révoquez les sessions actives et les jetons d'actualisation des comptes soupçonnés, puis imposez une réauthentification (Entra ID : révoquer les sessions / invalider les jetons d'actualisation).
Auditez chaque règle de boîte aux lettres (transfert, redirection, suppression, déplacement, marquage comme lu) et supprimez tout ce que l'utilisateur ne peut expliquer.
Extrayez les journaux de connexion du 14 juillet au 22 septembre 2026 et cherchez les connexions par jeton/cookie de session, les IP/ASN inhabituels et le profil de 497 réussites décrit dans les articles.
Réduisez l'exposition au vol de jetons : accès conditionnel, blocage de l'authentification héritée, durée de vie des jetons plus courte, protection des jetons et exigence d'appareil conforme lorsque les licences le permettent.
Vérifiez les consentements d'applications OAuth et la délégation de boîte aux lettres (FullAccess, SendAs, SendOnBehalf) pour détecter une persistance qui survit à une réinitialisation de mot de passe.