Exchange Online : sécurité et attaques ciblées

Exchange Online est le service de messagerie cloud de Microsoft, intégré à la suite Microsoft 365. Il expose des protocoles d'accès multiples : MAPI over HTTP, EWS (Exchange Web Services), REST Graph API, SMTP AUTH et POP/IMAP. Cette surface d'attaque élargie en fait une cible de choix pour les acteurs malveillants. Les attaques les plus fréquentes exploitent le flux OAuth pour obtenir des jetons d'accès persistants sans connaissance du mot de passe, via des applications tierces consenties par l'utilisateur ou l'administrateur. Une fois un jeton valide obtenu, l'attaquant accède aux boîtes aux lettres, exfiltre des emails, crée des règles de redirection silencieuses, et peut usurper l'identité d'un compte via l'impersonation Exchange. La compromission d'Exchange Online ne génère aucun artefact sur les postes endpoints, ce qui la rend difficile à détecter avec des outils EDR classiques. La criticité est maximale : les boîtes de réception contiennent des secrets métier, des identifiants, des échanges financiers et des données personnelles sensibles.

La détection sur Exchange Online repose quasi exclusivement sur les journaux Microsoft 365 Unified Audit Log (UAL), accessibles via le portail Compliance ou l'API Management Activity. Les événements clés à surveiller incluent : 'MailItemsAccessed' (opération EWS ou Graph sur une boîte tierce), 'New-InboxRule' avec les paramètres 'ForwardTo' ou 'DeleteMessage', 'Add app role assignment to service principal' pour les consentements OAuth suspects, et 'UserLoggedIn' depuis des IP anormales ou des user-agents non standards. L'activation du log d'audit avancé (Microsoft 365 E5 ou add-on) est indispensable pour obtenir 'MailItemsAccessed' au niveau de chaque message consulté. Côté SIEM, il faut corréler les connexions Graph API avec des plages horaires inhabituelles, des volumes d'accès anormaux, et des ASN d'hébergement cloud non légitimes. L'outil ROADtools ou HAWK permettent d'extraire et d'analyser les logs UAL pour reconstituer une timeline d'accès. Les alertes Microsoft Defender for Cloud Apps sur 'Activité de transfert de masse' complètent la supervision.

En Red Team, l'accès à Exchange Online s'obtient prioritairement par abus OAuth via des outils comme o365spray, TokenTacticsV2 ou AADInternals. La technique Device Code Phishing (RFC 8628) pousse la victime à s'authentifier depuis un code contrôlé par l'attaquant, livrant un refresh token de longue durée sans nécessiter de mot de passe. Une fois le token obtenu, Graph API permet de lire toutes les boîtes, de créer des règles de boîte via l'endpoint 'me/mailFolders/inbox/messageRules', et d'exfiltrer des pièces jointes ciblées. La persistance s'établit via l'enregistrement d'une application Azure AD malveillante avec les permissions 'Mail.ReadWrite' et 'MailboxSettings.ReadWrite'. Côté durcissement, les contre-mesures prioritaires sont : désactiver SMTP AUTH et les protocoles legacy (POP/IMAP) via les stratégies d'authentification, activer le Conditional Access avec filtrage par pays et conformité device, surveiller les consentements OAuth via la stratégie 'User consent settings', et activer la protection contre le transfert automatique externe dans les règles anti-spam Exchange Online Protection.