Entra ID : vol de credentials compromet 27 organisations MSP

Une campagne MSP qui expose des dizaines d'organisations cloud

Depuis le 1er novembre 2026, une campagne d'intrusion active cible les environnements Microsoft 365 et Azure de prestataires de services manages (MSP). L'acteur malveillant utilise des credentials voles — identifiants d'applications Microsoft Entra ID et tokens Azure DevOps — pour s'authentifier comme s'il etait une application legitime au sein des tenants des victimes. Selon le rapport publie par la societe de securite Todyl, au moins 27 organisations ont ete compromises a ce jour, sans qu'aucune faille de securite dans les produits Microsoft ne soit exploitee. La campagne est toujours active au moment de la redaction de cet article.

La technique est elaboree. Les attaquants ne cherchent pas a contourner l'authentification : ils possedent des credentials d'application valides, probablement obtenus lors d'une compromission anterieure d'un MSP ou via un marche de credentials voles. Dans Microsoft Entra ID, les applications peuvent se voir accorder des permissions tres larges sur un tenant (lecture des emails, acces aux fichiers SharePoint, administration Azure), et ces permissions persistent tant que les credentials ne sont pas revoques. L'acteur exploite precisement cette confiance accordee aux identites non humaines — un angle mort frequent dans la gestion des identites cloud des entreprises et de leurs prestataires.

La chronologie de l'attaque, reconstituee par Todyl, est precise. Le 1er novembre 2026, l'acteur commence a s'authentifier dans des environnements Microsoft 365 et Azure en se faisant passer pour des applications legitimes des MSP cibles. Il cible 45 enregistrements d'applications (app registrations) repartis dans environ 18 organisations, et parvient a s'authentifier avec succes dans au moins 33 d'entre elles. Le 2 novembre, il commence a exploiter des tokens de session Azure DevOps appartenant a deux utilisateurs, en rejouant ces tokens depuis sa propre infrastructure. L'adresse IP utilisee est tracee vers un hebergeur base en Pologne, selon les recherches de Huntress.

L'activite post-compromission documentee par Todyl revele l'etendue de l'acces obtenu. L'attaquant a conduit des recherches dans les boites mail de 25 tenants differents, telecharge 81 fichiers, et accede a environ 2 300 elements de messagerie. Les fichiers collectes comprenaient apparemment des listes de mots de passe, des cles privees et d'autres donnees d'identification, suggerant un objectif d'expansion de l'acces et de preparation a des attaques ulterieures contre les clients des MSP compromis. Cette strategie de collecte de credentials pour rebond est caracteristique des campagnes d'espionnage ou de pre-positionnement a des fins de sabotage.

Les secteurs victimes identifies sont particulierement sensibles : gouvernement, energie, alimentation et agriculture, transports, construction, juridique, education et organisations a but non lucratif. Cette selection suggere un acteur motive par l'espionnage ou la preparation d'attaques a impact operationnel, plutot que par un gain financier immediat. L'utilisation de MSP comme vecteur d'entree est une technique classique des APT : compromettre un seul prestataire permet d'acceder a des dizaines de clients differents, multipliant l'impact d'une intrusion initiale sans augmenter proportionnellement l'exposition de l'attaquant.

La reponse de Microsoft a cette campagne specifique n'a pas encore ete publiee officiellement. La societe avait neanmoins documente une campagne distincte en octobre 2026, ou le groupe Storm-0940 (d'alignement chinois) avait utilise des credentials ConnectWise compromis pour cibler plus de 2 250 tenants Microsoft 365. Dans ce cas precedent, Microsoft avait note que l'IA semblait avoir accelere la progression de l'attaquant, certaines intrusions passant du ciblage initial a l'acces privilegie cloud en moins de trois heures — un delai qui rend la detection et la reponse en temps reel extremement difficiles pour les equipes de securite.

Du cote de l'attribution de la campagne actuelle, l'acteur n'a pas encore ete formellement identifie. Cyber Security News mentionne la possibilite d'une implication de l'IA dans la conduite de l'attaque, mais cette piste reste a faible degre de confiance. L'origine des credentials voles — comment et quand ils ont ete compromis — n'est pas encore etablie publiquement. Il pourrait s'agir d'un vol lors d'une compromission anterieure d'un MSP, d'une fuite via un infostealer deploye sur les postes de travail des administrateurs, ou d'un achat sur un marche de credentials du dark web. Les infostealers comme RedLine, Lumma et Vidar continuent de collecter massivement des credentials d'entreprise a travers des campagnes de phishing ciblees.

Pour les organisations utilisant des MSP, la situation exige une reaction immediate. Todyl et Huntress ont publie des indicateurs de compromission (IoC) incluant les adresses IP utilisees par l'acteur et des patterns d'activite suspects dans les journaux Entra ID. Ces IoC doivent etre integres dans les regles de detection SIEM et les listes de blocage des pare-feu au plus tot. Parallelement, un audit urgent des app registrations et service principals Entra ID s'impose, avec revocation de tous les credentials inactifs ou dont l'origine ne peut pas etre verifiee.

L'identite machine, maillon faible du cloud d'entreprise

Cette campagne illustre un probleme structurel dans la gestion des identites cloud qui touche la quasi-totalite des grandes organisations : la proliferation incontroolee des identites non humaines. Dans un tenant Microsoft Entra ID typique d'une grande entreprise ou d'un MSP, il peut exister des centaines, voire des milliers d'enregistrements d'applications et de service principals, chacun disposant de permissions plus ou moins larges. Ces identites sont souvent creees pour des besoins ponctuels, dotees de permissions larges par commodite, et rarement auditees ou revoquees. Selon les estimations des specialistes de la gestion des identites, les identites non humaines (applications, service accounts, tokens) representent desormais entre 60 et 80 % des identites dans les environnements cloud des grandes entreprises.

La campagne actuelle exploite precisement ce gap : une fois des credentials d'application voles, l'attaquant beneficie de la meme confiance que l'application legitime. Il n'y a pas de MFA a contourner, pas d'alerte de connexion anormale depuis un nouveau device — l'authentification d'une application utilise des secrets ou des certificats, pas des facteurs humains. Les outils de detection traditionnels, calibres sur les comportements utilisateurs, peinent a detecter ces intrusions car les patterns d'acces peuvent sembler legitimes lors d'une analyse superficielle.

Pour les MSP, l'enjeu va au-dela de la compromission technique : leur modele economique repose sur la confiance de leurs clients. Une intrusion reussie via un MSP peut declencher des obligations de notification de violation de donnees sous le RGPD, des litiges contractuels, et une perte durable de clients. La directive NIS2, qui s'applique depuis octobre 2024 dans l'Union Europeenne, impose desormais des exigences specifiques de securite aux prestataires de services numeriques — dont font partie les MSP — et prevoit des sanctions pouvant aller jusqu'a 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

Les recommandations des analystes convergent vers plusieurs actions prioritaires : audit complet des app registrations et service principals Entra ID, revocation des credentials inactifs ou suspects, activation de Conditional Access pour les authentifications d'applications sensibles, deploiement de Privileged Identity Management (PIM) pour limiter les permissions permanentes, et surveillance renforcee des journaux de connexion pour les identites non humaines. Ces mesures, souvent remises a plus tard faute de temps ou de ressources, deviennent urgentes face a une campagne active qui continue de progresser.

Ce qu'il faut retenir

• Auditer immediatement les app registrations et service principals Microsoft Entra ID : revoquer les credentials inactifs ou suspects et verifier les permissions accordees.
• Les MSP sont des cibles prioritaires pour ce type d'attaque par rebond : un seul MSP compromis expose potentiellement des dizaines de clients dans des secteurs sensibles.
• Aucune faille Microsoft n'est en cause : la compromission repose sur des credentials voles legitimes, rendant la detection plus difficile sans audit proactif des identites non humaines.