Vol de jetons : ce que le MFA ne couvre plus, et comment réduire la fenêtre
Les attaquants ne cherchent plus à casser le MFA : ils volent la session qui vient après. Comprendre la vie d'un jeton permet de choisir les bonnes défenses et de réagir vite quand l'un d'eux est dérobé.
Le MFA a déplacé la cible
Quand le MFA se généralise, les attaquants cessent de voler des mots de passe pour voler ce qui vient après : les jetons. Un proxy d'hameçonnage de type « adversary-in-the-middle » relaie la vraie page de connexion Microsoft, laisse l'utilisateur valider son MFA, puis capture le cookie de session. Un logiciel malveillant sur un poste peut, lui, extraire les jetons des navigateurs et des applications. Dans les deux cas, l'attaquant rejoue une session déjà authentifiée : le MFA a bien été satisfait — par la victime.
La durée de vie d'un jeton
Un jeton d'accès est court, de l'ordre d'une heure par défaut. Mais le jeton d'actualisation et le cookie de session du navigateur permettent d'en obtenir de nouveaux pendant bien plus longtemps. C'est cette durée qui fait la valeur d'un vol : tant que la session n'est pas révoquée, l'attaquant garde son accès.
Réduire la valeur de ce qui est volé
- MFA résistant au phishing. Les clés FIDO2, passkeys et Windows Hello Entreprise sont liés au domaine légitime : un proxy AiTM ne peut pas les relayer. C'est la mesure la plus efficace contre le vol de cookie au moment de la connexion.
- Appareil conforme. Exiger un appareil géré pour les applications sensibles empêche de rejouer la session depuis la machine de l'attaquant.
- Protection des jetons. L'accès conditionnel peut exiger que le jeton de session soit lié à l'appareil qui l'a obtenu. Le périmètre d'applications et de plateformes couvertes évolue : vérifiez celui en vigueur avant de l'imposer.
- Fréquence de connexion. Pour les administrateurs et les applications critiques, une réauthentification régulière réduit la durée d'usage d'une session volée.
L'évaluation continue de l'accès
L'évaluation continue de l'accès (CAE) change la logique : au lieu d'attendre l'expiration du jeton, les services compatibles — Exchange Online, SharePoint Online, Teams, Microsoft Graph — sont informés des événements critiques et rejettent le jeton quasi immédiatement. Compte désactivé, mot de passe changé ou réinitialisé, sessions révoquées, risque utilisateur élevé : autant d'événements qui coupent l'accès en quelques minutes plutôt qu'en une heure. En mode strict, un changement d'adresse IP hors des emplacements autorisés peut aussi invalider le jeton.
À savoir. La CAE est active par défaut avec les clients compatibles. L'enjeu est de ne pas la neutraliser par une politique de session héritée, et de disposer des signaux qui la déclenchent.
Réagir à un vol de jeton
Réinitialiser le mot de passe ne suffit pas toujours à couper une session déjà émise. La réponse inclut la révocation explicite des sessions de l'utilisateur, le contrôle des méthodes d'authentification ajoutées, des règles de boîte créées et des consentements accordés, puis la recherche, dans les journaux de connexion, des autres comptes utilisés depuis les mêmes adresses.
Ce qu'un audit vérifie
- La couverture des administrateurs par une force d'authentification résistante au phishing.
- Les politiques exigeant un appareil conforme pour les applications sensibles.
- Les politiques de session : fréquence de connexion, session persistante, désactivation éventuelle de la CAE.
- La collecte et la conservation des journaux de connexion, sans lesquels aucune enquête n'est possible.