Attaque OAuth : protéger le consentement Microsoft 365

Le vol de données Salesforce de juin 2026 s'est fait sans mot de passe. Voici comment bloquer les consentements OAuth malveillants dans votre tenant Microsoft 365.

Une vague d'attaques OAuth a frappé le monde du SaaS en juin 2026, et personne n'a eu à craquer un seul mot de passe. Des pirates ont compromis Klue, une plateforme d'intelligence concurrentielle qui se synchronise avec Salesforce, ont volé les jetons OAuth que ses clients lui avaient accordés, puis ont utilisé ces jetons pour entrer directement dans les environnements Salesforce connectés. Huntress et LastPass ont confirmé un vol de données CRM, et de nouvelles victimes se sont ajoutées jusqu'en juillet.

Si vous exploitez Microsoft 365, ne classez pas cette histoire dans le dossier « problème Salesforce ». La même mécanique menace votre tenant. Un employé clique sur Accepter dans une fenêtre d'autorisations, l'application du pirate reçoit un jeton, et il n'y a plus de mot de passe à hameçonner ni de défi MFA à contourner. Le jeton fonctionne tant que personne ne le révoque.

Voici ce qui s'est passé, comment les consentements d'applications malveillants fonctionnent dans Entra ID, et les quatre réglages qui ferment la porte. La plupart sont gratuits et prennent moins d'une heure.

Points clés à retenir

Des pirates ont volé des données CRM Salesforce en juin 2026 avec de simples jetons OAuth, sans mot de passe.
L'hameçonnage par consentement donne à l'application d'un pirate un accès durable aux courriels et aux fichiers.
La MFA ne peut rien une fois le jeton accordé; les politiques de consentement bloquent l'octroi à la source.
Restreindre le consentement utilisateur et activer le flux d'approbation administrateur dans Entra ID ne coûte rien.
Auditez les permissions d'applications chaque trimestre; les intégrations dormantes sont une mine d'or pour les pirates.

Ce qui s'est passé : la vague de vols de données Salesforce de juin 2026

La version courte : les pirates n'ont pas percé Salesforce, mais un fournisseur qui s'y connecte. Les intrus sont entrés chez Klue grâce à un identifiant dormant hérité d'une intégration prototype, puis ont poussé du code malveillant qui récoltait les jetons OAuth reliant le produit Battlecards de Klue à Salesforce (selon BleepingComputer). Avec ces jetons, ils ont interrogé directement les environnements Salesforce des clients et extrait contacts d'affaires, communications de vente, soumissions de prix et détails d'abonnements (selon Huntress).

Klue a repéré une activité anormale le 11 juin et alerté ses clients le 13. Le 16 juin, des courriels d'extorsion signés Icarus arrivaient chez Huntress, menaçant de publier les données dans les 48 heures. Salesforce a désactivé l'intégration Klue le 17 juin (selon Dark Reading). Icarus, qui se dit actif depuis la fin avril 2026, a ensuite ajouté des victimes à son site de fuites, et les divulgations se sont poursuivies en juillet.

Le scénario vous semble familier? Normal. La compromission de Salesloft Drift avait frappé les clients Salesforce de la même façon en 2025. Voler des jetons OAuth chez un fournisseur d'intégrations SaaS est devenu un mode opératoire répétable, et les données CRM sont le butin.

Équipe de professionnels travaillant sur des portables lors d'une revue de sécurité

Comment fonctionne une attaque OAuth dans Microsoft 365

Dans Microsoft 365, les applications demandent l'accès à vos données par OAuth. Quand un utilisateur clique sur Accepter, Entra ID enregistre l'octroi et remet à l'application des jetons portant ces permissions : lire les courriels, envoyer des messages au nom de l'utilisateur, accéder aux fichiers, rester connecté en permanence. C'est la plomberie derrière chaque intégration légitime, et c'est exactement ce que les pirates ciblent désormais.

L'hameçonnage par consentement est la version artisanale de l'attaque Klue. Le pirate enregistre une application au nom plausible, du genre « PDF Viewer Pro » ou « Mise à jour de sécurité courriel », puis envoie un lien qui ouvre le véritable écran de consentement de Microsoft. Pas de fausse page de connexion, pas de vol de mot de passe : ces leurres échappent donc aux vérifications de notre guide visuel pour repérer un courriel d'hameçonnage. Tout ce qui s'affiche est authentiquement Microsoft. La seule chose fausse, c'est l'application derrière la fenêtre.

Un clic sur Accepter et le pirate détient un jeton qui survit aux réinitialisations de mot de passe, ignore la MFA et lit les courriels jusqu'à ce qu'un administrateur s'en aperçoive. L'autre variante est celle qui vient de frapper Salesforce : un fournisseur légitime connecté il y a des années se fait pirater, et les jetons accordés de bonne foi partent avec l'attaquant.

Par défaut, bien des tenants Microsoft 365 laissent encore chaque utilisateur consentir seul à des applications tierces. C'est cette porte qu'il faut fermer, et Entra ID fournit les serrures gratuitement.

Verrouiller le consentement des applications dans Entra ID : quatre gestes

1. Restreindre le consentement des utilisateurs

Dans le centre d'administration Entra, ouvrez Applications d'entreprise, puis Consentement et autorisations, puis Paramètres de consentement de l'utilisateur. Choisissez « Ne pas autoriser le consentement de l'utilisateur », ou l'option intermédiaire limitée aux éditeurs vérifiés et aux permissions à faible impact (selon Microsoft Learn). Pour la plupart des PME que nous gérons, la restriction complète est le bon choix. Un octroi de permissions est une entente d'accès aux données; vos employés ne devraient pas signer cela au nom de l'entreprise.

2. Activer le flux d'approbation administrateur

Bloquer le consentement sans soupape pousse les utilisateurs à contourner les TI. Le flux d'approbation administrateur (admin consent workflow) leur offre plutôt un bouton « Demander une approbation ». Les réviseurs désignés reçoivent un courriel, vérifient l'éditeur, les permissions et le besoin d'affaires, puis approuvent ou refusent (selon Microsoft Learn). Nommez au moins deux réviseurs et fixez l'expiration des demandes à 30 jours.

3. Auditer les applications déjà connectées

Les paramètres de consentement ne régissent que les octrois futurs. Passez en revue ce qui est déjà connecté dans Applications d'entreprise, surtout tout ce qui détient Mail.Read, Mail.Send, offline_access ou Files.Read.All. Pour chaque application : qui a consenti, le fournisseur sert-il encore, et quelqu'un remarquerait-il une révocation demain? Les intégrations dormantes aux permissions étendues sont exactement ce que les attaquants de Klue ont monnayé. Pour un deuxième regard, nos services de cybersécurité incluent cet audit dans le durcissement de tenant.

4. Ajouter la gouvernance des applications si votre licence l'inclut

La gouvernance des applications, une capacité de Microsoft Defender for Cloud Apps, surveille les applications OAuth après l'octroi : permissions excessives, accès privilégiés inutilisés et activité API inhabituelle déclenchent des alertes (selon Microsoft Learn). Incluse avec Microsoft 365 E5, elle est offerte en option ailleurs. C'est verrouiller la porte, avec une caméra pointée dessus en prime.

Administratrice TI examinant les permissions d'applications sur un portable avec un collègue

L'angle Loi 25 pour les entreprises québécoises

Un CRM est une base de renseignements personnels : noms, courriels professionnels, numéros de téléphone, parfois historique d'achats. Si une attaque OAuth vide le vôtre, les obligations de la Loi 25 s'appliquent : évaluer le risque de préjudice sérieux, aviser la Commission d'accès à l'information et les personnes concernées lorsque requis, puis consigner l'incident dans votre registre. Notre guide sur la Loi 25 et Microsoft 365 détaille ce cadre.

Le constat pratique : l'hygiène des consentements est désormais une tâche de conformité en plus d'une tâche de sécurité. Avec un service de TI gérées, ces revues suivent un calendrier plutôt que d'attendre un incident.

FAQ

Qu'est-ce que l'hameçonnage par consentement dans Microsoft 365?

L'hameçonnage par consentement amène un utilisateur à approuver la demande de permissions d'une application malveillante plutôt qu'à voler son mot de passe. Entra ID remet alors à l'application du pirate un jeton portant les permissions accordées, comme la lecture des courriels ou des fichiers. Cet accès persiste jusqu'à révocation par un administrateur; un changement de mot de passe n'y change rien.

La MFA protège-t-elle contre les attaques OAuth?

Non. La MFA protège la connexion, et ici la connexion est légitime : l'utilisateur est réellement sur la page de connexion Microsoft. Le jeton émis après le consentement fonctionne ensuite sans autre défi MFA. Les politiques de consentement, le flux d'approbation administrateur et les audits d'applications sont les contrôles qui répondent à cette catégorie d'attaques.

Comment voir quelles applications ont accès à mes données Microsoft 365?

Dans le centre d'administration Entra, ouvrez Applications d'entreprise, puis l'onglet Autorisations de chaque application pour voir ce qui a été accordé et par qui. Chaque utilisateur peut vérifier ses propres octrois sur myapps.microsoft.com. Les administrateurs peuvent aussi exporter tous les octrois OAuth avec Microsoft Graph PowerShell.

Une PME devrait-elle désactiver complètement le consentement des utilisateurs?

Dans la plupart des cas, oui. Les employés ont rarement le contexte pour juger une demande de permissions, et un seul mauvais clic accorde un accès durable aux données de l'entreprise. Jumelez la restriction au flux d'approbation administrateur pour traiter les demandes légitimes rapidement, généralement en moins d'un jour ouvrable.

Sources

La vague Salesforce l'a démontré : les pirates n'ont plus besoin de vos mots de passe, une seule application approuvée leur suffit. Une heure dans le centre d'administration Entra referme la majeure partie de cette exposition. Pour un deuxième avis sur vos consentements et applications connectées, réservez une évaluation TI gratuite.

Attaques OAuth : le nouvel hameçonnage vise Microsoft 365