Storm‑2949 : quand une réinitialisation de mot de passe mène à une compromission cloud à grande échelle

Les cyberattaques modernes contre les environnements cloud ciblent de moins en moins les logiciels eux‑mêmes et de plus en plus les identités numériques. La campagne Storm‑2949 en est une illustration frappante : au lieu d’utiliser des malwares classiques, les attaquants ont exploité des processus légitimes de récupération de compte et l’ingénierie sociale pour transformer la compromission d’un seul compte en intrusion à grande échelle dans des environnements Microsoft 365 et Azure.

Cet incident met aussi en évidence une tendance plus large dans la cybersécurité : certaines méthodes d’authentification, comme les codes envoyés par SMS, sont de plus en plus considérées comme vulnérables. Microsoft pousse donc les organisations et les particuliers vers des méthodes plus robustes, comme les passkeys et les systèmes d’authentification résistants au phishing.

Comment l’attaque Storm‑2949 a commencé

Selon Microsoft Threat Intelligence, Storm‑2949 a mené une campagne « méthodique, sophistiquée et multi‑couches » visant à extraire le maximum de données sensibles depuis les actifs cloud les plus critiques d’une organisation.

Plutôt que de déployer des logiciels malveillants, les attaquants ont surtout compromis des identités et utilisé des fonctionnalités cloud légitimes. Une fois l’accès obtenu à un compte utilisateur — souvent doté de privilèges élevés — ils ont utilisé les flux d’administration normaux de Microsoft 365 et d’Azure pour étendre progressivement leur accès à d’autres ressources de l’organisation.

Cette approche permet de se fondre dans l’activité normale et de contourner de nombreux outils de sécurité conçus pour détecter des programmes malveillants.

Le rôle clé du Self‑Service Password Reset (SSPR)

Un maillon central de la chaîne d’attaque était l’abus du système Self‑Service Password Reset (SSPR) de Microsoft Entra, qui permet normalement aux utilisateurs de réinitialiser leur mot de passe sans passer par le support informatique.

Storm‑2949 a détourné ce mécanisme grâce à l’ingénierie sociale :

• Les attaquants se faisaient passer pour des membres du support informatique ou de l’équipe sécurité.
• Ils contactaient directement les employés ciblés.
• Les victimes étaient invitées à approuver ce qui semblait être une vérification de routine.

En réalité, ces notifications correspondaient à des demandes MFA déclenchées pendant une tentative de réinitialisation de mot de passe.

Une fois la demande approuvée, les attaquants pouvaient finaliser la procédure et prendre le contrôle du compte.

Ils pouvaient alors :

• réinitialiser le mot de passe de l’utilisateur ;
• supprimer les méthodes d’authentification existantes ;
• enregistrer leur propre appareil d’authentification (par exemple Microsoft Authenticator).

Résultat : l’utilisateur légitime était exclu de son compte tandis que l’attaquant obtenait un accès persistant protégé par MFA.

De la compromission d’un compte à une intrusion cloud complète

Une fois l’identité compromise, Storm‑2949 a progressé latéralement dans l’environnement cloud de la victime.

Les comptes ciblés appartenaient souvent à des profils à privilèges élevés — personnel informatique ou direction — ce qui ouvrait l’accès à un large éventail de services Microsoft.

Les ressources visées comprenaient notamment :

• les données Microsoft 365, dont SharePoint et OneDrive ;
• les environnements de production hébergés sur Azure ;
• les comptes de stockage et bases de données cloud ;
• les secrets stockés dans des services comme Azure Key Vault.

Cette campagne illustre une réalité essentielle de la sécurité cloud : l’identité constitue le véritable plan de contrôle. Lorsqu’une identité disposant de privilèges est compromise, de nombreux services interconnectés peuvent devenir accessibles sans exploiter la moindre vulnérabilité logicielle.

Pourquoi Microsoft abandonne progressivement l’authentification par SMS

Parallèlement à ces incidents, Microsoft a annoncé qu’il abandonnera progressivement les codes SMS pour l’authentification et la récupération de compte des comptes Microsoft personnels.

Selon l’entreprise, l’authentification par SMS est devenue une source majeure de fraude et présente plusieurs faiblesses connues :

• les attaques par SIM‑swap, où un attaquant transfère le numéro de téléphone de la victime vers une nouvelle carte SIM ;
• l’interception possible des messages dans l’infrastructure télécom ;
• les attaques d’ingénierie sociale visant à faire révéler les codes.

Comme ces codes sont facilement hameçonnables et transmissibles, ils peuvent être capturés à distance. Microsoft considère donc ces méthodes moins sûres que les systèmes modernes d’authentification sans mot de passe.

À la place, l’entreprise encourage l’utilisation de :

• passkeys basées sur des clés cryptographiques ;
• applications d’authentification comme Microsoft Authenticator ;
• adresses e‑mail secondaires vérifiées.

Les mesures de sécurité recommandées par Microsoft

L’affaire Storm‑2949 montre que les attaques d’identité peuvent contourner des défenses traditionnelles. Microsoft recommande plusieurs mesures pour réduire ce risque.

1. Utiliser une MFA résistante au phishing

Les organisations devraient privilégier des méthodes d’authentification difficiles à intercepter ou à approuver par manipulation, comme les passkeys ou des dispositifs matériels conformes aux standards d’authentification résistants au phishing.

2. Appliquer le principe du moindre privilège

Les accès doivent être limités via des contrôles basés sur les rôles (RBAC). Chaque utilisateur ne doit disposer que des permissions nécessaires à son travail afin de limiter l’impact d’un compte compromis.

3. Considérer la récupération de compte comme un point critique

Les mécanismes de récupération — dont SSPR — peuvent devenir des vecteurs d’attaque. Ils doivent être surveillés et sécurisés avec une attention particulière pour les comptes à privilèges.

4. Surveiller l’activité d’identité et le plan de contrôle cloud

Les équipes de sécurité devraient journaliser et analyser :

• les événements d’authentification et d’identité ;
• les activités de réinitialisation de mot de passe ;
• l’accès aux données Microsoft 365 ;
• les opérations d’administration Azure.

Cette visibilité permet de détecter rapidement des comportements administratifs suspects.

La leçon principale : l’identité est devenue la nouvelle surface d’attaque

Storm‑2949 illustre un changement majeur dans la cybersécurité moderne. Les attaquants cherchent moins à exploiter des failles logicielles qu’à manipuler les systèmes d’identité et les processus de récupération de compte.

Dans un environnement cloud, une seule identité compromise — surtout si elle possède des privilèges élevés — peut devenir la porte d’entrée vers l’ensemble de l’infrastructure numérique d’une organisation. Renforcer l’authentification, limiter les privilèges et surveiller les activités liées aux identités est donc devenu essentiel pour sécuriser les environnements cloud modernes.