La double authentification suffit-elle sur Microsoft 365 ?

Le scénario en bref

Exemple, inventé pour illustrer. Une PME fictive d'une quarantaine de personnes a activé la double authentification sur Microsoft 365 : une règle d'accès conditionnel la demande à tout le monde. Une seule exception : la boîte « secrétariat ». Le copieur s'en sert pour envoyer les scans par mail, et un copieur ne sait pas répondre à un code de confirmation.

Un lundi, le secrétariat n'arrive plus à se connecter : « Votre compte est temporairement verrouillé ». Le journal des connexions de Microsoft Entra (l'annuaire qui gère les comptes Microsoft 365) montre, dans cet exemple, plusieurs milliers d'essais de mot de passe sur cette boîte en un mois, venus d'adresses du monde entier. Tous passent par le même chemin : le SMTP authentifié, un ancien protocole d'envoi de mails.

Voici, étape par étape, ce qu'on fait, pourquoi, et le piège à éviter. Les chiffres sont des ordres de grandeur pour cet exemple, pas des mesures.

Pourquoi la double authentification ne protège pas tout

La double authentification (MFA) demande un deuxième élément en plus du mot de passe : un code ou une validation sur le téléphone. Les anciens protocoles de messagerie, comme le SMTP authentifié, POP, IMAP ou Exchange ActiveSync en authentification de base, ne savent pas poser cette question. Ils envoient un nom d'utilisateur et un mot de passe, rien d'autre.

Microsoft l'écrit clairement : l'authentification héritée ne prend pas en charge la double authentification, et même avec une règle MFA active, un attaquant peut se connecter par un ancien protocole et la contourner. Un compte exclu de la règle, ou une règle limitée aux applications modernes, laisse donc une porte où le mot de passe seul suffit.

En France, l'ANSSI (Agence nationale de la sécurité des systèmes d'information) recommande elle aussi de privilégier l'authentification multifacteur, de préférence avec un facteur que l'on possède (téléphone, clé de sécurité). Mais la double authentification ne protège que là où elle est réellement demandée : chaque porte qui y échappe annule une partie de la protection.

Selon l'analyse de Microsoft, plus de 97 % des attaques par bourrage d'identifiants (des listes de mots de passe volés ailleurs) et plus de 99 % des attaques par pulvérisation de mots de passe (quelques mots de passe courants essayés sur beaucoup de comptes) passent par l'authentification héritée.

Étape 1 : lire le journal des connexions Entra

Un administrateur de votre Microsoft 365 ouvre le journal des connexions de Microsoft Entra. Il affiche, pour chaque connexion, le protocole utilisé, puis ne garde que les anciens protocoles, dont le SMTP authentifié. Il refait le même tri pour les connexions non interactives (celles des appareils et des logiciels, sans personne devant l'écran) : Microsoft recommande de vérifier les deux.

Les codes d'erreur à reconnaître

Le verrouillage intelligent est actif sur tous les comptes Microsoft 365. Par défaut, il bloque un compte après 10 essais ratés, une minute au début, puis plus longtemps. Il essaie de distinguer l'attaquant du vrai utilisateur, sans garantie : c'est pourquoi le secrétariat de l'exemple se retrouve bloqué lui aussi.

Le piège : ne regarder que l'onglet des connexions interactives, ou conclure trop vite qu'il n'y a « que des échecs ». Un seul succès venu d'un pays où vous n'avez personne suffit à traiter la boîte comme compromise (étape 5).

Étape 2 : avant de couper, trouver qui utilise encore SMTP

Dans le même filtre, regardez cette fois les connexions réussies. Dans l'exemple, deux usages légitimes apparaissent : le copieur du secrétariat (scan vers mail) et un ancien logiciel de facturation qui envoie les factures par mail. Une adresse IP fixe, toujours la même, des envois aux heures de bureau : c'est un appareil à vous. Le même compte depuis l'autre bout du monde : ce n'est pas vous.

Microsoft 365 propose aussi un rapport des envois par SMTP authentifié, qui indique pour chaque envoi s'il passe par l'ancienne connexion (mot de passe seul) ou par la connexion moderne.

Pour chaque appareil ou logiciel, Microsoft documente des solutions de remplacement :

• L'envoi avec connexion moderne : si l'appareil ou le logiciel le permet, souvent après une mise à jour, il garde le même envoi mais avec une connexion moderne.
• Le relais par l'adresse du bureau : le copieur envoie directement au serveur de messagerie de Microsoft 365, qui le reconnaît à l'adresse internet fixe du bureau ou à un certificat. Plus besoin de boîte ni de mot de passe. Il faut une adresse internet fixe, propre au bureau, et l'ajouter à la liste des expéditeurs autorisés de votre domaine (l'enregistrement SPF).
• L'envoi direct : seulement vers vos propres boîtes, jamais vers l'extérieur. Microsoft le réserve aux cas avancés.
• Les services d'envoi de Microsoft prévus pour les logiciels (High Volume Email pour les envois internes, Azure Communication Services pour l'interne et l'externe) : les alternatives que Microsoft recommande pour les applications.

Le piège : couper le vendredi soir sans liste. Le lundi matin, les scans ne partent plus et personne ne sait pourquoi. Faites la liste, testez l'alternative appareil par appareil, puis coupez.

Étape 3 : couper SMTP AUTH dans Exchange Online

Le réglage se trouve dans l'administration d'Exchange Online, la messagerie de Microsoft 365 (procédure de Microsoft). Vérifiez d'abord le réglage général de l'organisation : il dit si le SMTP authentifié est coupé pour tous, ou encore ouvert.

Pour le couper partout, il suffit de changer ce réglage général. Un administrateur le fait en quelques minutes.

Une boîte qui en a vraiment encore besoin peut recevoir une exception, réglée boîte par boîte. Chaque exception est une boîte où le mot de passe seul suffit : mot de passe long et unique, jamais celui d'une personne, et une date pour la supprimer.

Le piège : le réglage d'une boîte l'emporte toujours sur celui de l'organisation. Une boîte ouverte il y a des années le reste après la coupure générale. Demandez donc la liste de toutes les boîtes qui gardent une exception.

Ce que Microsoft prévoit (statut lu le 11 octobre 2026)

Microsoft avait d'abord annoncé la fin de l'authentification de base pour SMTP AUTH en septembre 2025, puis l'avait repoussée à mars-avril 2026. Le 27 janvier 2026, nouveau calendrier : rien ne change jusqu'en décembre 2026. Fin décembre 2026, elle sera désactivée par défaut dans les organisations existantes, mais un administrateur pourra encore la réactiver. La date de retrait définitif sera annoncée au second semestre 2027. N'attendez pas : tant qu'elle est ouverte chez vous, la porte l'est aussi.

Étape 4 : bloquer tous les anciens protocoles

SMTP n'est qu'une porte parmi d'autres : POP, IMAP, Exchange ActiveSync, anciennes versions d'Outlook. Deux façons de toutes les fermer :

• Avec une licence Microsoft Entra ID P1 : une règle d'accès conditionnel qui bloque, pour tous les utilisateurs, toutes les connexions par les anciens protocoles. Excluez un compte d'accès d'urgence, pour ne pas vous enfermer dehors.
• Sans licence P1 : les paramètres de sécurité par défaut de Microsoft Entra. Gratuits, ils bloquent toute l'authentification héritée (SMTP AUTH compris) et imposent la double authentification, mais sans réglage fin : c'est tout ou rien.

Le piège : activer la règle directement. Microsoft recommande de la créer d'abord en mode rapport : elle note qui elle aurait bloqué, sans rien bloquer. Après quelques jours sans surprise, on la passe en « On ».

Étape 5 : les trous que la double authentification ne bouche pas

Le vol de session par une fausse page de connexion

Dans une attaque dite « adversary-in-the-middle » (l'attaquant au milieu), le mail piégé mène vers une fausse page de connexion Microsoft qui relaie tout vers la vraie. La victime tape son mot de passe, valide la double authentification, et l'attaquant récupère au passage le cookie de session, la preuve qu'on est connecté. Avec lui, il entre sans mot de passe ni code. Microsoft le précise : ce n'est pas une faille de la double authentification, qui reste très efficace contre la plupart des attaques.

La parade durable : des méthodes de connexion résistantes à l'hameçonnage, liées au vrai site de Microsoft, comme les clés de sécurité FIDO2, les passkeys (clés d'accès) ou Windows Hello Entreprise. Microsoft recommande de les déployer largement, en commençant par les comptes administrateurs, puis de les imposer par une règle d'accès conditionnel.

La règle de transfert posée en silence

Une fois dans la boîte, l'attaquant pose souvent une règle qui transfère certains mails vers l'extérieur, ou qui déplace les réponses dans un dossier peu consulté (Archive, Flux RSS) en les marquant comme lues. Il suit ainsi les échanges sur les factures et les paiements sans être vu. Changer le mot de passe ne supprime pas cette règle. Microsoft détaille les contrôles à faire dans son guide sur les comptes de messagerie compromis.

1. Le transfert de la boîte : vérifier que la boîte elle-même ne renvoie pas ses mails vers une adresse externe.
2. Les règles de la boîte, y compris cachées : un administrateur peut toutes les lister, même celles qu'Outlook n'affiche pas.
3. Fermer les sessions ouvertes : un administrateur déconnecte le compte de partout, depuis sa fiche dans Microsoft Entra. Une session déjà ouverte peut rester valable jusqu'à son expiration, une heure par défaut.
4. Vérifier ce que l'attaquant a pu ajouter : une méthode de double authentification (son propre téléphone), une application autorisée, des mots de passe d'application, qui ne sont pas révoqués quand on change le mot de passe.

Le piège : changer le mot de passe et s'arrêter là. La règle de transfert, la session volée et la méthode ajoutée par l'attaquant restent en place.

Si la boîte a déjà été piratée : les réflexes en France

Le dispositif public cybermalveillance.gouv.fr, en partenariat avec le ministère de l'Intérieur et l'ANSSI, résume dans sa fiche réflexe sur le piratage de compte les gestes à faire. Ils complètent les contrôles techniques de l'étape 5 :

1. Changer le mot de passe sans attendre, et partout où le même mot de passe servait.
2. Vérifier les coordonnées de récupération du compte (téléphone, adresse de secours) : l'attaquant a pu les remplacer par les siennes.
3. Prévenir vos contacts : une boîte piratée sert souvent à envoyer de faux mails en votre nom, par exemple une demande de changement de RIB.
4. Prévenir votre banque si des coordonnées bancaires ou des ordres de paiement sont passés par la boîte.
5. Garder les preuves et déposer plainte au commissariat, à la gendarmerie ou auprès du procureur de la République, selon le préjudice.

Pour être orienté, le service 17Cyber, proposé par la Police nationale, la Gendarmerie nationale et cybermalveillance.gouv.fr, propose un diagnostic en ligne.

Et la CNIL ? Une boîte mail contient presque toujours des données personnelles : clients, salariés, et pour un cabinet médical, souvent des données de santé couvertes par le secret médical. Si l'accès de l'attaquant présente un risque pour les personnes, le RGPD impose de notifier la violation à la CNIL dans les meilleurs délais, si possible dans les 72 heures, et d'informer les personnes concernées si le risque est élevé. Toute violation doit de toute façon être consignée en interne. En cas de doute, la CNIL recommande de la notifier.

Êtes-vous exposé ? Cinq vérifications rapides

Un administrateur de votre Microsoft 365 peut faire ces contrôles en quelques minutes, sans rien modifier :

1. Dans le journal des connexions, triez sur les anciens protocoles. Un seul résultat veut dire qu'une porte est ouverte.
2. Vérifiez le réglage général du SMTP authentifié. S'il est ouvert, il l'est pour toute l'organisation.
3. Demandez la liste des boîtes qui gardent une exception (étape 3).
4. Contrôlez les règles de transfert des boîtes sensibles : direction, comptabilité, secrétariat.
5. Vérifiez qu'une règle d'accès conditionnel ou les paramètres de sécurité par défaut bloquent l'authentification héritée.

Si un point vous inquiète, ne coupez rien à l'aveugle : commencez par la liste des appareils qui envoient des mails (étape 2).

Ce que DeepIT peut faire pour vous

Pour les PME et les cabinets libéraux dont il gère l'informatique, à Marseille et dans les Bouches-du-Rhône, DeepIT met en place la double authentification et les réglages de messagerie contre l'usurpation (SPF, DKIM, DMARC). Nous pouvons faire ces vérifications avec vous, à distance d'abord : journal des connexions, SMTP AUTH, anciens protocoles et règles de transfert, puis préparer l'alternative pour vos copieurs et logiciels avant de couper quoi que ce soit. Sur place quand il le faut, de Marseille à Aix-en-Provence ou Aubagne.

Voir aussi notre gestion externalisée, notre page informatique médicale, nos partenaires, dont Microsoft et notre article une PME a-t-elle besoin d'une entreprise de cybersécurité ?

Faire vérifier votre Microsoft 365→