Entre le 12 et le 26 juin 2026, une campagne de « password spray » (essai systématique de mots de passe courants sur un grand nombre de comptes) a généré environ 81 millions de tentatives de connexion visant des tenants Microsoft 365, selon une analyse de la société de sécurité Huntress relayée par BleepingComputer. Plusieurs dizaines de comptes ont été compromis dans de nombreuses organisations.
Point notable souligné par les analystes : la majorité des organisations touchées avaient pourtant le MFA activé. La faille ne venait pas de l’absence de MFA, mais de déploiements incomplets — notamment l’autorisation persistante de protocoles d’authentification anciens (comme ROPC, Resource Owner Password Credentials) qui permettent une connexion par simple identifiant et mot de passe, sans second facteur, ou des exclusions mal maîtrisées dans les règles d’accès conditionnel.
Cette campagne rappelle qu’activer le MFA ne suffit pas : encore faut-il vérifier qu’aucune porte dérobée ne permette de le contourner, en particulier via les protocoles d’authentification hérités encore actifs sur de nombreux tenants par défaut.
Spécialiste Microsoft 365 et gestion des identités. Camille aide les PME à sécuriser leurs comptes, leur messagerie et leurs accès sans complexifier le quotidien des équipes.