Microsoft lève le voile sur une année d’attaques orchestrées par ShinyHunters : révélations inédites de l’enquête

Microsoft révèle enfin l’ampleur des attaques menées par le groupe ShinyHunters au cours de l’année écoulée. Ces révélations illustrent la complexité et la persistance des menaces modernes. L’enquête met en lumière des méthodes sophistiquées qui ont compromis de nombreuses infrastructures.

ShinyHunters : une menace constante et sournoise dévoilée par Microsoft

Depuis plusieurs mois, ShinyHunters a orchestré des cyberattaques ciblant des plateformes majeures. Microsoft expose désormais une année complète d’incidents, décrivant des stratégies d’intrusion avancées. Ces attaques ne sont pas de simples tentatives ; elles visent à s’infiltrer profondément dans les réseaux.

La particularité ? L’usage habile de jetons OAuth, détournés pour accéder sans déclencher d’alertes classiques. Ainsi, les malfaiteurs opèrent souvent sous couverture, ce qui complique la détection par les équipes de sécurité.

Ce scénario requiert une vigilance accrue. Il ne s’agit pas juste d’un hack banal : ShinyHunters exploite des failles dans la gestion des accès applicatifs pour exfiltrer des données.

Détection améliorée grâce à la collaboration Microsoft-Salesforce

La riposte ne se limite pas à la révélation du problème. Microsoft et Salesforce ont uni leurs forces pour renforcer la détection. Un nouveau connecteur dans Defender for Cloud Apps propose un suivi quasi temps réel des activités suspectes sur Salesforce.

Cela permet d’identifier précisément l’application responsable, pas uniquement l’utilisateur connecté. Dans un contexte où des applications tierces abusent souvent des droits OAuth, cette distinction est cruciale.

Microsoft ajoute aussi des outils pour pointer les applications avec des droits élevés, et surtout celles inactives depuis plus de 90 jours. Impossible de garder des accès ouverts inutilisés sans risquer l’exploitation.

Gouvernance et gestion des risques applicatifs : une nécessité pour les administrateurs

Beaucoup d’entreprises françaises clientes de Salesforce ne disposent pas de la licence Defender. Pourtant, elles ont les mêmes obligations RGPD que les grandes structures. La moindre violation doit être signalée à la CNIL dans les 72 heures.

Sans outils dédiés, la réaction rapide reste possible. Un administrateur peut agir directement en gérant les applications connectées. La priorité est de révoquer les accès inutilisés, même si ces applications conservent des permissions étendues.

Les comptes invités des sites Experience Cloud doivent aussi être contrôlés, surtout pour éviter la lecture directe via Aura sans authentification. Ce genre de faille est une porte d’entrée que les hackers connaissent très bien.

La résilience face aux attaques OAuth : préconisations pragmatiques

Il faut arrêter de croire que la redondance suffit à garantir la sécurité. La complexité des attaques modernes exige un véritable plan de reprise et une approche ultra rigoureuse. Révoquer les droits inutiles, tester la redondance des accès, simuler les scénarios d’attaque.

On ne parle plus de panne classique mais de scénarios ciblés sur les accès applicatifs. Chaque jeton OAuth détourné est une faille critique qui doit être bloquée à la source. Le défi ? Anticiper ces usages malveillants et les neutraliser avant qu’ils ne causent des dégâts.

Seule une gouvernance stricte des permissions et un contrôle rigoureux des applications peuvent réduire cette surface d’attaque.

Source: www.clubic.com