Les 7 erreurs en résumé
- 1. Absence d'authentification multifacteur (MFA) imposée à l'ensemble des utilisateurs ou utilisation exclusive du SMS (vulnérable au SIM-swapping).
- 2. Protocoles d'authentification hérités (Legacy Auth) restés activés (bipassant le MFA).
- 3. Comptes d'administrateurs globaux trop nombreux et utilisés au quotidien sans séparation des privilèges.
- 4. Liens de partage anonymes « Tout le monde » activés par défaut sur SharePoint et OneDrive.
- 5. Enregistrement d'applications tierces non vérifiées dans Entra ID par de simples employés (Consent Phishing).
- 6. Journalisation d'audit unifiée (Audit Log) non surveillée ou rétention insuffisante en cas d'enquête.
- 7. Absence de politiques d'accès conditionnel basées sur le risque et la géolocalisation.
1. Le leurre de la sécurité par défaut dans le cloud Microsoft
Lorsqu'une organisation suisse migre ses boîtes aux lettres Exchange vers Microsoft 365, elle pense souvent être automatiquement protégée par le géant de Redmond. C'est méconnaître le modèle de responsabilité partagée : Microsoft garantit la disponibilité de l'infrastructure mondiale, mais la configuration, la gestion des identités et la sécurité des données incombent à 100 % au client final.
2. Analyse technique des failles majeures
Erreur n° 1 : Les protocoles d'authentification hérités (Legacy Protocols)
Même si le MFA est configuré dans votre organisation, si les protocoles POP3, IMAP ou SMTP Authenticated Submission ne sont pas formellement bloqués au niveau de l'accès conditionnel, un attaquant disposant d'un mot de passe volé peut se connecter directement à la boîte aux lettres sans qu'aucun second facteur ne lui soit demandé.
# Commande PowerShell pour identifier les connexions utilisant des protocoles hérités
Get-EntraBetaSignInLog -Filter "clientAppUsed eq 'Exchange ActiveSync' or clientAppUsed eq 'IMAP4'" |
Select-Object UserPrincipalName, AppDisplayName, IPAddress, CreatedDateTimeErreur n° 2 : L'attribution excessive du rôle d'Administrateur Général
Nous observons fréquemment dans des PME romandes entre 5 et 10 comptes dotés du rôle « Global Administrator ». Pire encore, ces comptes sont souvent associés aux boîtes mail quotidiennes des techniciens, les exposant directement aux attaques de phishing. La bonne pratique impose un maximum de 2 à 4 comptes dédiés, utilisés exclusivement pour l'administration et protégés par des clés physiques de sécurité FIDO2.
3. Checklist de vérification recommandée
| Paramètre Entra ID / M365 | Configuration recommandée | Niveau d'urgence |
|---|---|---|
| Authentification multifacteur | Imposée via Conditional Access avec Number Matching (Microsoft Authenticator ou FIDO2). | Critique (Immédiat) |
| Authentification héritée | Règle de blocage explicite de tout protocole ne supportant pas l'authentification moderne. | Critique (Immédiat) |
| Partage externe SharePoint | Désactiver les liens publics anonymes ; restreindre aux utilisateurs invités authentifiés. | Élevé |
| Consentement d'applications tierces | Exiger l'approbation préalable d'un administrateur pour toute demande d'autorisation d'API. | Élevé |
