The MFA Gaps Attackers are Still Exploiting

L’illusion de la sécurité : les failles persistantes de l’authentification multifacteur

Les attaquants exploitent régulièrement le décalage entre la sécurisation des services cloud (SaaS, Microsoft 365) et celle des accès locaux, où les mots de passe suffisent encore trop souvent à compromettre un réseau. L’utilisation d’identifiants légitimes, facilitée par l’automatisation via l’IA, reste le vecteur principal d’intrusion initiale pour les ransomwares.

Points clés :

• Incohérence de protection : La mise en place de la MFA sur le cloud ne protège pas automatiquement les services on-premise (VPN, RDP, sessions Windows).
• Persistance des menaces : Les attaquants utilisent des tactiques éprouvées (spray de mots de passe, réutilisation d’identifiants, mouvement latéral via RDP) pour accéder au contrôleur de domaine.
• Risque identitaire : Une fois les identifiants volés, l’attaquant interagit avec l’environnement comme un utilisateur légitime, rendant la détection plus complexe.

Vulnérabilités :

• Absence de MFA sur les accès critiques : Les VPN, les connexions RDP et les ouvertures de session Windows restent vulnérables au brute-force et au “password spraying” lorsqu’ils ne sont protégés que par un mot de passe.
• Mots de passe faibles ou compromis : L’absence d’audit régulier des politiques de mots de passe dans Active Directory laisse des portes ouvertes aux attaquants utilisant des listes de compromissions passées.
• (Note : Aucune CVE spécifique n’est mentionnée, l’article se concentre sur les faiblesses de configuration et de stratégie de sécurité).

Recommandations :

• Étendre la MFA : Ne pas se limiter au cloud ; appliquer une authentification forte à tous les points d’entrée critiques, notamment le VPN, le RDP et l’ouverture de session Windows.
• Auditer les identifiants : Rechercher activement les mots de passe faibles, réutilisés ou déjà compromis au sein de l’Active Directory.
• Intégration de la télémétrie : Centraliser les événements d’authentification dans une plateforme SIEM/SOC pour détecter rapidement les activités suspectes.
• Évaluation de l’accès : Identifier systématiquement tous les services au sein de l’entreprise où un mot de passe peut être utilisé seul pour l’authentification et y ajouter une couche de protection supplémentaire.

Source