Quand un mot de passe faible croise un flux d’authentification oublié, le résultat tient en un chiffre : 81 millions de tentatives de connexion en quinze jours. Huntress affirme avoir observé cette campagne visant des comptes Microsoft via Azure CLI, avec au moins 78 comptes compromis. Les attaquants s’appuient sur le flux OAuth ROPC, qui présente directement identifiant et mot de passe à l’authentification, sans l’interaction utilisateur habituelle.
Points clés
- Huntress dénombre plus de 81 millions de tentatives de connexion sur Azure CLI du 12 au 26 juin 2026.
- 78 comptes Microsoft compromis dans 64 organisations via password spraying et flux OAuth ROPC.
- Le trafic est attribué au réseau AS32167 lié à LSHIY LLC, depuis une plage IPv6.
- Correctif recommandé : durcir les politiques d’accès conditionnel et limiter les flux d’authentification autorisés.
81 millions de tentatives en deux semaines
Selon le rapport de Huntress, la campagne s’est déroulée du 12 au 26 juin 2026. La société dénombre 78 comptes utilisateurs compromis dans 64 organisations, pour un total de plus de 81 millions de tentatives de connexion sur la période.
Le point d’entrée est Azure CLI, l’outil en ligne de commande de Microsoft pour piloter des ressources cloud. Huntress relie l’essentiel du trafic à AS32167, un réseau associé à LSHIY LLC, avec des requêtes issues de la plage IPv6 2a0a:d683::/32.
Le vecteur employé est le password spraying : plutôt que de bombarder un seul compte au risque de le verrouiller, on teste un mot de passe courant sur une multitude d’identifiants. Ici, le flux ROPC sert à valider les identifiants récoltés et à contourner des politiques d’accès conditionnel trop laxistes.
ROPC, CAP et protections en carton
Huntress pointe des Conditional Access Policies (CAP) mal configurées ou trop faibles. Le flux ROPC permet de s’affranchir des protections qui reposent sur une interaction classique, comme l’approbation d’une connexion depuis un navigateur ou un second facteur imposé dans d’autres scénarios.
Les éléments publics ne détaillent ni les mots de passe testés ni la liste des organisations touchées. Huntress précise en revanche que l’activité était toujours en cours au moment de sa publication, le 30 juin 2026.
Huntress : « Entre le 12 et le 26 juin, nous avons vu 78 comptes utilisateurs compromis dans 64 organisations. Sur cette fenêtre de 14 jours, nous avons observé plus de 81 millions de tentatives de connexion. »
Ce que doivent vérifier les équipes Microsoft 365
La cible n’est pas anodine : Azure CLI relève de l’administration et de l’automatisation, là où un identifiant compromis peut ouvrir grand la porte aux ressources sensibles. La recette est classique : mots de passe réutilisés ou trop simples, plus des flux d’authentification encore autorisés dans certains tenants.
- Origine principale liée à LSHIY LLC / AS32167.
- Fenêtre d’attaque du 12 au 26 juin 2026.
- Plus de 81 millions de tentatives observées.
- Au moins 78 comptes Microsoft compromis dans 64 organisations.
Microsoft documente que les scénarios d’automatisation et certains flux non interactifs ne se comportent pas comme une connexion navigateur classique. Traduction pour les administrateurs : revoir les politiques d’accès conditionnel, restreindre les méthodes d’authentification autorisées et surveiller les journaux de connexion des outils cloud. ROPC laissé ouvert, c’est une fenêtre entrebâillée sur laquelle 81 millions de tentatives finissent par appuyer.
