Add-in piraté : des milliers de comptes Microsoft détournés via Outlook

Des milliers de comptes Microsoft ont été compromis à cause d’un add-in Outlook piraté. Cette attaque ne fait pas appel à des malwares classiques. Les hackers se sont servis d’une faille dans un outil délaissé pour accéder aux données.

Le problème touche Microsoft 365, vecteur majeur des activités en entreprise. Malgré les protections mises en place, le système OAuth a été détourné pour contourner la sécurité.

Un add-in oublié, une porte ouverte aux cybercriminels

L’add-in en question servait à la planification, un outil autrefois utile mais délaissé par son développeur. Sans mise à jour, il est devenu vulnérable aux attaques. Les pirates ont ainsi récupéré les identifiants Outlook via ce vecteur.

Une campagne massive de phishing s’appuie sur cette faille. Le code malveillant injecte une fausse fenêtre d’authentification OAuth dans Outlook. Les victimes, croyant se connecter normalement, fournissent involontairement leurs accès.

Détournement de l’authentification OAuth sans malware

Traditionnellement, les attaques passent par un logiciel malveillant. Ici, le système OAuth légitime est contourné. Le résultat : les pirates obtiennent un accès direct sans alerter les systèmes classiques de détection.

Ce procédé plus sournois est encore plus dangereux. Les systèmes MFA (authentification multi-facteurs) sont aussi contournés. Cela fragilise la confiance dans les sécurités mises en œuvre par Microsoft.

Les attaques ciblent plus que des utilisateurs isolés

Les conséquences dépassent la simple perte de données personnelles. Les comptes entreprises, souvent liés à des documents sensibles, sont à risque. On imagine aisément les dégâts en cas de compromission de mails et dossiers OneDrive.

Le groupe APT29, connu pour ses cyberattaques sophistiquées, est soupçonné d’exploiter cette faille. Sans malwares intrusifs ni exploits techniques classiques, ils se sont adaptés. Cette forme de piratage est difficile à anticiper.

Mesures à envisager dans un contexte d’attaques complexes

Le seul fait d’activer la double authentification ne suffit plus à garantir une défense. Les entreprises doivent revoir leur architecture de sécurité en profondeur. Un contrôle strict des add-ins installés et une surveillance proactive sont indispensables.

Les tests de redondance et les audits réguliers doivent intégrer ces nouvelles menaces. Des scénarios de récupération rapide en cas d’intrusion doivent être définis. Une architecture résiliente est la base pour limiter les impacts.

La sécurité des infrastructures, un enjeu majeur en 2026

Cette attaque interroge sur la pérénité des mécanismes standards. Un réseau ou un système ne peut être fiable que si leur résistance face à ces nouveaux vecteurs est testée. La redondance et les plans de reprise sont cruciaux.

L’expérience montre que chaque faille exploitée découle souvent d’un relâchement. Ici, l’utilisation d’un add-in non maintenu a été un facteur décisif. La vigilance constante reste la meilleure arme contre ce type de manipulation.

Source: www.golem.de