Entre 2024 et 2026, la campagne Mirage2FA Microsoft 365 aurait touché des milliers d’organisations aux États-Unis et en Europe. Son objectif ne se limite pas au vol de mots de passe : les attaquants cherchent surtout à se faire passer pour des utilisateurs en s’appuyant sur des sessions valides, afin d’obtenir un accès à des services liés à Microsoft 365.
D’après des recherches menées par ANY.RUN, une part importante des adresses email ciblées présenterait une exposition potentielle. L’enjeu pour les entreprises est donc clair : lorsqu’une session est compromise, les conséquences peuvent dépasser le compte initial et compliquer la réponse.
Ce que fait Mirage2FA sur Microsoft 365
La campagne repose sur une approche de phishing « as-a-service » : les attaques sont conçues pour cibler des comptes Microsoft 365 en abusant de flux de connexion authentiques. Concrètement, les criminels exploiteraient des mécanismes permettant d’entrer dans l’environnement, puis tenteraient de contourner la protection basée sur l’authentification à deux facteurs.
Le point central est le vol de données de session. En récupérant des informations comme des mots de passe et des cookies de session, les attaquants peuvent obtenir un accès à des sessions déjà authentifiées. Une fois cette étape franchie, ils peuvent aussi atteindre des services connectés via les identités (SSO) et étendre leur capacité d’action au sein de l’entreprise.
Pourquoi le vol de session change tout
Avec une attaque classique, la récupération d’un mot de passe suffit souvent à déclencher une prise de contrôle. Ici, le scénario est plus insidieux : les attaquants utilisent une session légitime pour agir sous le couvert d’un utilisateur déjà authentifié.
Selon les résultats d’ANY.RUN, de nombreux événements potentiels de compromission seraient liés à des combinaisons de vol de cookies, vol de mots de passe, tentatives de connexions SSO et événements associés à des bypass de la MFA. Cette logique permet d’augmenter fortement la probabilité d’accès aux ressources et de réduire l’efficacité des contrôles « traditionnels » centrés sur la tentative de connexion.
Portée géographique et secteurs les plus ciblés
Mirage2FA Microsoft 365 n’aurait pas été limité à un seul pays. Si la majorité des victimes serait localisée aux États-Unis, l’activité aurait également été observée dans d’autres pays, dont l’Inde, Singapour, le Royaume-Uni, le Canada, l’Arabie saoudite et l’Afrique du Sud.
Au niveau de l’écosystème des victimes, l’activité serait potentiellement associée à un grand nombre de domaines email uniques d’organisations. En matière d’industries, des secteurs comme la technologie, l’industrie manufacturière et l’éducation figureraient parmi les cibles les plus fréquentes.
Du compte compromis à la compromission de l’environnement
Un risque majeur, souvent sous-estimé, concerne l’effet d’entraînement. Une fois une session Microsoft 365 compromise, les attaquants peuvent ouvrir une voie vers :
- l’usurpation d’identité au sein des outils de l’entreprise,
- la fraude via des comptes fiables et des workflows internes,
- l’accès à des applications connectées via SSO,
- et, plus largement, une augmentation de la surface d’attaque.
En pratique, cela peut rendre la recherche et le confinement plus coûteux. L’équipe SOC ne se contente pas de « bloquer » un compte : elle doit comprendre comment l’attaque a été menée, quand la session a été détournée et quelles activités en ont découlé.
AiTM : exploiter des lacunes malgré la MFA
Les recherches indiquent que des techniques de type AiTM (attacks-in-the-middle) peuvent tirer parti d’écarts liés à l’authentification et à la gestion de session. Même lorsque la MFA est activée, l’attaque peut chercher à contourner la protection en jouant sur la continuité de la session ou sur l’abus de flux de connexion.
Autrement dit, l’objectif n’est pas uniquement de « passer le contrôle » au moment de l’authentification : il s’agit aussi de maintenir un accès crédible après l’établissement de la session.
Réduire le risque lié à Mirage2FA Microsoft 365
Pour limiter l’impact, les organisations doivent combiner plusieurs leviers : améliorer l’authentification, repérer plus tôt les comportements anormaux, et traiter le vol de session comme un incident d’identité à part entière.
1) Détecter plus tôt grâce à une analyse approfondie
Un moyen d’anticiper l’attaque consiste à renforcer l’investigation dès les premières traces. L’intégration de mécanismes d’analyse sécurisée (par exemple via un environnement d’observation/sandbox) dans les processus existants permet aux équipes SOC d’évaluer rapidement les contenus suspects.
L’idée est de repérer des signaux de phishing avant qu’ils ne débouchent sur une compromission effective de compte. En renforçant l’observation et la corrélation, vous augmentez vos chances d’identifier la portée réelle de l’opération et de réduire le temps nécessaire à la réponse.
2) Enquêter au-delà des indicateurs isolés
Les indicateurs de compromission (IOCs) ponctuels ne suffisent généralement pas. Les activités Mirage2FA Microsoft 365 doivent être examinées en tenant compte de la chaîne d’infrastructure : chargeurs récurrents, données encodées, activité webSocket suspecte et composants associés.
Cette approche aide à comprendre s’il s’agit d’une campagne plus large et interconnectée, plutôt que d’un incident isolé.
3) Traiter le vol de session comme un incident d’identité
Si des sessions ou des tokens semblent détournés, il ne faut pas se limiter à un simple reset de mot de passe. Il est essentiel de :
- révoquer les sessions et jetons compromis,
- investiguer l’activité rattachée à l’identité concernée,
- évaluer les accès aux applications et workflows connectés.
En procédant ainsi, vous réduisez la probabilité que l’attaquant conserve un accès persistant via des sessions valides.
4) Coupler détection comportementale et intelligence de menace
Les flux d’intelligence de menace en temps réel peuvent compléter les détections basées sur le comportement. Comme les infrastructures évoluent, disposer d’indicateurs à jour aide les analystes à établir des liens entre URLs, domaines, adresses IP et fichiers, puis à pivoter vers des ressources associées.
En renforçant cette combinaison, vous transformez des alertes isolées en informations exploitables, ce qui facilite la prise de décision pendant la réponse à incident.
Conclusion : repenser la défense autour des sessions
Mirage2FA Microsoft 365 illustre une évolution importante du phishing : le vol d’identifiants ne suffit plus. En détournant des sessions Microsoft 365, les attaquants peuvent tirer parti d’une identité déjà validée pour contourner des contrôles MFA et accéder à des services connexes.
Face à une campagne potentiellement liée à des milliers d’organisations, notamment aux États-Unis, la meilleure posture consiste à privilégier une authentification plus robuste, une détection centrée sur les comportements, et une réponse structurée lorsque des sessions sont compromises. Traiter l’incident comme un problème d’identité, et pas seulement de mot de passe, augmente vos chances de limiter l’impact et d’accélérer la remédiation.
Source: https://thehackernews.com/2026/08/mirage2fa-surge-hits-4500-us-and-eu.html
