Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Password spraying attacks surge 155x as hackers exploit MFA gaps

1 minute de lecture

Mis à jour :

Recrudescence massive des attaques par « Password Spraying » via les failles MFA

Le premier semestre 2026 a connu une augmentation de 155x des attaques par password spraying. Une campagne majeure, associée au fournisseur d’hébergement LSHIY, a ciblé l’interface de ligne de commande (CLI) Azure, générant plus de 81 millions de tentatives de connexion en deux semaines.

Points clés :

  • Méthodologie : Les attaquants exploitent des identifiants compromis lors de fuites de données antérieures, en utilisant une approche « faible et lente » pour éviter les verrouillages de compte.
  • Abus de l’IPv6 et du BYOIP : L’utilisation de services Bring Your Own IP (BYOIP) permet aux attaquants de basculer rapidement entre différentes plages d’adresses IPv6, rendant le blocage par IP inefficace.
  • Vulnérabilité critique : Les assaillants abusent du flux ROPC (Resource Owner Password Credentials), une méthode d’authentification OAuth héritée obsolète. Le ROPC transmet les identifiants directement sans déclencher de défi MFA (Multi-Factor Authentication), contournant ainsi les politiques de sécurité configurées de manière incomplète.

Vulnérabilités :

  • CVE : Aucune CVE spécifique n’est mentionnée, car il s’agit d’une exploitation de conception héritée (Legacy) plutôt que d’une faille logicielle.
  • Facteur aggravant : Mauvaise configuration des politiques d’accès conditionnel (Conditional Access Policies), qui excluent souvent certains types d’applications (comme CLI) ou certaines méthodes d’authentification du périmètre MFA.

Recommandations :

  • Désactiver le flux ROPC : Supprimer l’usage de ce protocole obsolète et bloquer les applications qui en dépendent.
  • Renforcer l’accès conditionnel : Appliquer le MFA de manière stricte sur tous les utilisateurs, toutes les applications cloud et tous les types de clients, sans exclusion.
  • Utiliser des contrôles robustes : Configurer les politiques pour exiger une authentification forte (userStrongAuthClientAuthNRequired) au niveau du client.
  • Gestion des accès : Restreindre l’usage de l’Azure CLI uniquement aux administrateurs ayant un besoin métier justifié.
  • Hygiène des mots de passe : Promouvoir l’usage de méthodes sans mot de passe et assurer une rotation systématique des identifiants après toute fuite de données avérée.

Source

Vous pourriez aimer