Session hijacking Microsoft 365 : une menace en forte progression pour le secteur de la santé

Les établissements de santé, agences sanitaires, industriels pharmaceutiques, organismes de recherche, structures médico-sociales et prestataires numériques utilisent largement des services collaboratifs et des solutions SaaS. Les droits associés à un compte Microsoft 365 peuvent donner accès à plusieurs applications, parfois sans nouvelle authentification visible pour l’utilisateur.

Une campagne partagée par le rapport de Health-ISAC et menée par le groupe UNC6671 cible principalement des directeurs, vice-présidents et autres cadres dirigeants. Les attaquants se font passer pour le support informatique, contactent leurs victimes par téléphone et les orientent vers un faux portail d’enregistrement MFA ou de configuration d’une clé d’accès. Le portail reproduit ensuite un flux de connexion Microsoft 365 afin de capturer les informations d’authentification et le jeton de session.

Après la compromission, les attaquants consultent les applications accessibles au compte, effectuent des recherches dans SharePoint et Entra ID, puis collectent massivement des données depuis SharePoint, OneDrive et Exchange. Les informations exfiltrées sont ensuite susceptibles d’être utilisées dans le cadre d’une extorsion. 

Pour un acteur du secteur de la santé, une compromission peut entraîner la fuite de données sensibles (courriels, dossiers de patients, informations sur les professionnels de santé, partenaires ou fournisseurs), ainsi que le vol de documents stockés dans les outils collaboratifs. Elle peut également exposer des travaux de recherche, des essais cliniques ou de la propriété intellectuelle. Les attaquants peuvent exploiter les comptes compromis pour mener d'autres campagnes frauduleuses, usurper l'identité de responsables ou de personnels de santé, masquer leurs activités en modifiant les règles de messagerie, exercer une extorsion via la menace de divulgation des données volées et perturber les fonctions administratives, logistiques ou la coordination des soins.

Les campagnes observées reposent sur une chaîne d’attaque structurée visant en priorité les comptes disposant d’un accès important aux données ou à des fonctions sensibles, tels que les membres de la direction, responsables informatiques, équipes RH, finance ou recherche. Les attaquants entrent généralement en contact avec leur cible en se faisant passer pour le support informatique ou la DSI, sous couvert d’une opération légitime liée à la MFA, à la sécurité ou à la résolution d’un incident.

La victime est ensuite dirigée vers un faux portaild’authentification imitant les services Microsoft 365. Grâce à une technique d’attaque de type Adversary-in-the-Middle, les attaquants interceptent en temps réel les identifiants, la validation MFA et surtout le jeton de session associé au compte. Ils peuvent alors réutiliser ce jeton depuis leur propre infrastructure sans avoir à contourner de nouveau l’authentification.

Une fois l’accès obtenu, les cybercriminels réalisent des opérations de reconnaissance pour identifier les données, applications et espaces documentaires accessibles. Ils procèdent ensuite à la collecte et au téléchargement de volumes importants de documents et de courriels, notamment dans SharePoint, OneDrive ou Exchange. Dans les campagnes attribuées à PREY-0058, cette phase d’exfiltration est fréquemment suivie d'une tentative d'extorsion fondée sur la menace de divulguer les données dérobées.

D’autres campagnes s’appuient sur des courriels contenant de fausses factures, notifications fiscales ou informations d’expédition pour inciter les victimes à installer des outils légitimes de télémaintenance tels que ScreenConnect, ConnectWise ou LogMeIn Rescue. Leur caractère légitime peut permettre à l’activité malveillante de se confondre avec les opérations habituelles du support informatique.

Pour les établissements, six points de vigilance sont à retenir : ils permettent d’interpréter les données disponibles sans confondre une mesure technique avec une évaluation complète du risque.

• Une MFA validée ne garantit pas l’intégrité de la session : les techniques AiTM ne suppriment pas nécessairement la MFA. Elles amènent l’utilisateur à la réaliser dans un flux contrôlé ou relayé par l’attaquant. Le succès apparent de l’authentification ne permet donc pas d’écarter une interception.

• La réinitialisation du mot de passe peut être insuffisante : lorsqu’un jeton de session a été dérobé, changer le mot de passe ne met pas systématiquement fin à la session compromise. La réponse doit comprendre la révocation des sessions et jetons actifs, ainsi qu’une vérification de l’activité du compte.

• Les attaquants peuvent ne déployer aucun malware : la campagne PREY-0058 se distingue par l’absence de logiciel malveillant sur les terminaux et de mouvement latéral réseau. Les actions sont réalisées au moyen d’identités et de services cloud légitimes, ce qui limite l’efficacité d’une surveillance exclusivement centrée sur les postes et les flux réseau internes.

• Les cadres dirigeants constituent des cibles prioritaires : les comptes de direction disposent souvent d’un large accès documentaire, d’une forte capacité de sollicitation interne et d’échanges sensibles avec les partenaires. Leur compromission facilite également les fraudes par usurpation d’identité.

• Les appels téléphoniques doivent être intégrés aux scénarios d’attaque : la sensibilisation ne doit plus se limiter aux courriels d’hameçonnage. Un appel semblant provenir du support informatique peut servir à guider en temps réel la victime dans la validation d’une authentification frauduleuse.

• Les accès légitimes peuvent masquer une exfiltration massive : une connexion réussie ne doit pas être interprétée comme un indicateur suffisant de légitimité. Les recherches inhabituelles dans SharePoint, les téléchargements massifs, la consultation rapide de plusieurs espaces documentaires ou l’accès soudain à des volumes importants de courriels doivent être surveillés.

Pour surveiller le risque de détournement de sessions Microsoft 365, les établissements peuvent suivre des indicateurs portant sur la protection des comptes sensibles, la couverture des contrôles d’accès, la rapidité de révocation des sessions compromises, la détection d’anomalies de connexion, la surveillance des accès aux documents, le signalement des tentatives de phishing, le contrôle des outils de télémaintenance, la limitation de l’exposition des données sensibles et la capacité d’investigation dans l’environnement cloud. L’objectif est de mesurer à la fois le déploiement des mesures de sécurité et leur efficacité réelle face aux techniques de contournement, notamment les attaques de type Adversary-in-the-Middle (AiTM).

Face aux campagnes de détournement de session et de phishing AiTM, les acteurs de la santé doivent adopter une approche globale : 

• Identifier et protéger les comptes les plus sensibles.
• Renforcer l’authentification avec des mécanismes résistants au phishing.
• Sécuriser les procédures du support informatique.
• Appliquer le principe du moindre privilège pour limiter l’accès aux données.
• Surveiller les comportements anormaux dans les environnements cloud afin de détecter d’éventuelles compromissions ou exfiltrations de données.

En parallèle, les procédures de réponse à incident doivent intégrer la révocation des sessions et jetons compromis, l’analyse des activités réalisées dans les services cloud et l’évaluation des impacts potentiels. Enfin, la sensibilisation des utilisateurs doit couvrir des scénarios réalistes, incluant les faux appels du support, les demandes de réinitialisation MFA, les faux portails d’authentification et l’usage frauduleux d’outils de télémaintenance, en ciblant particulièrement les personnels disposant d’accès sensibles ou soumis à de fortes contraintes opérationnelles.