Les jetons OAuth ne sont pas supprimés lorsque des employés quittent l'entreprise, que des mots de passe changent ou que des applications deviennent malveillantes. Votre programme de sécurité doit prendre en compte ce risque et supprimer au plus vite les droits d'accès inutiles ou abandonnés.
Imaginez une clé de secours. Vous l'avez confiée à un technicien il y a six mois pour qu'il répare votre système de chauffage, ventilation et climatisation. Les travaux sont terminés. Le technicien est parti. Mais la clé fonctionne toujours et vous ne l'avez jamais réclamée. C'est plus ou moins ce qui se passe chaque fois qu'un employé de votre entreprise connecte une application tierce à Google Workspace ou Microsoft 365 via OAuth. Les clés numériques sont créées par vos employés. Elles n'expirent pas et, dans la plupart des organisations, personne ne les suit, ne les vérifie ni ne les supprime lorsqu'elles ne sont plus nécessaires !
OAuth Il s'agit du système qui se cache derrière les boutons « Se connecter avec Google » et « Autoriser l'accès » sur lesquels votre équipe clique quotidiennement. Il permet aux applications de consulter votre agenda, d'envoyer des e-mails en votre nom ou d'accéder à des données depuis votre espace de stockage cloud, le tout sans que vous ayez à partager votre mot de passe. C'est idéal. Le problème, c'est que le jeton d'accès créé reste actif longtemps après que vous ayez oublié l'existence de l'application. Il n'est pas supprimé lorsqu'un employé quitte l'entreprise. Il n'est pas réinitialisé lorsqu'un utilisateur change de mot de passe. Votre authentification multifacteurs est donc inefficace pour empêcher un attaquant de se prévaloir d'un jeton valide.
La recherche de Sécurité matérielle Une étude a révélé que 80 % des responsables de la sécurité considèrent les autorisations OAuth non gérées comme un risque critique ou important. Ce chiffre est élevé depuis des années. La sensibilisation n'est peut-être pas le principal obstacle à l'atténuation de cette menace. is.
45 % certaines organisations ne font rien pour surveiller les autorisations OAuth à grande échelle.
33 % s'appuyer sur un suivi manuel, comme des feuilles de calcul et des examens ponctuels
Une feuille de calcul indiquant quelles applications ont accès ne permet pas de savoir ce qu'elles font de cet accès. L'une est une liste, l'autre une mesure de sécurité. Actuellement, la plupart des équipes ne disposent que de la liste.
En 2024 et 2025, un acteur malveillant connu sous le pseudonyme UNC6395 (suivi par l'unité 42 de Palo Alto) a utilisé des jetons d'actualisation OAuth volés à Drift, une plateforme de gestion des interactions commerciales, pour accéder aux environnements Salesforce de plus de 700 organisations. Drift disposait de connexions OAuth légitimes à ces comptes Salesforce. L'attaquant s'est emparé de ces jetons, probablement grâce à des attaques de phishing antérieures, et a ainsi pu accéder directement aux systèmes.
Qu'est-ce qui a rendu cette attaque si efficace ?
Rien ne paraissait suspect. Les jetons étaient valides. L'application était digne de confiance. La connexion n'a jamais eu lieu car l'attaquant ne s'est jamais connecté. Il a présenté un jeton existant pour lequel Drift avait déjà l'autorisation d'utilisation. L'authentification multifacteur n'a eu aucun impact puisqu'aucun mot de passe n'a été saisi. Une fois à l'intérieur du système, UNC6395 a extrait des données et les a analysées à la recherche d'identifiants tels que des clés AWS, des jetons Snowflake et des mots de passe. Cloudflare, PagerDuty et des dizaines d'autres services ont été touchés.
L'important n'est pas de dire que Drift était une mauvaise application, mais plutôt qu'une application fiable au moment de son installation peut devenir risquée par la suite si ses identifiants sont volés. Vos outils de sécurité doivent surveiller l'activité des applications connectées sur la durée, et pas seulement les autorisations demandées initialement.
La plupart des outils de sécurité OAuth fonctionnent dès la connexion d'une application. Ils vérifient si les autorisations demandées semblent excessives et signalent les applications provenant de fournisseurs inconnus. C'est très utile et vous devriez l'utiliser. Mais cela ne suffit pas à lui seul.
Une application réputée et fiable, dotée d'autorisations raisonnables, passerait ces contrôles sans problème. Si ses identifiants sont volés six mois plus tard, votre vérification effectuée lors de l'installation ne détectera rien. Le risque est survenu après coup.
Lors de la conception d'OAuth, le cas d'utilisation typique concernait un petit nombre d'applications approuvées par le service informatique bénéficiant d'un accès limité aux calendriers partagés. La situation était alors gérable. Aujourd'hui, chaque employé connecte indépendamment des outils d'IA, des applications de prise de notes, des plateformes d'automatisation et des modules complémentaires de productivité à son compte professionnel. Chaque connexion génère un jeton. Aucun de ces jetons n'expire automatiquement. La plupart des organisations ignorent leur nombre exact.
À mesure que les outils d'IA se généralisent en entreprise, le nombre de connexions OAuth dans votre environnement augmentera. Empêcher totalement les employés d'utiliser ces outils n'est pas réaliste et n'aurait de toute façon pas empêché l'attaque Drift, car celle-ci a débuté par une intégration approuvée et de confiance.
Commencez par dresser la liste de toutes les applications OAuth connectées à votre environnement Google Workspace ou Microsoft 365. Les deux plateformes permettent aux administrateurs de réaliser cette opération sans outil tiers. Recherchez les applications inconnues, celles connectées aux comptes d'anciens collaborateurs et celles disposant d'autorisations très étendues, telles que « lire tous les e-mails » ou « accéder à tous les fichiers ». Ces applications doivent être examinées et les autorisations révoquées en priorité.
À partir de là, prenez l'habitude de vérifier les autorisations OAuth chaque trimestre. Une fois le nettoyage initial effectué, cela prend moins de temps qu'il n'y paraît et évite que la liste ne devienne ingérable. Lors du départ d'un employé, intégrez la révocation des autorisations OAuth à votre procédure de départ, au même titre que la réinitialisation des mots de passe et la désactivation des comptes.
Votre étape d'action CyberHoot
Cette semaine, connectez-vous à votre console d'administration Google ou à votre portail Microsoft Entra et consultez la liste des applications tierces connectées. Comptez-les. Vous serez probablement surpris. Sélectionnez les cinq qui vous semblent les moins familières et vérifiez leurs droits d'accès. Révoquez ceux qui ne sont pas autorisés. Cette simple action renforcera considérablement la sécurité de votre organisation dès aujourd'hui. À vos marques !
admin.google.com → Users → [User] → Security → Connected Applications
learn.microsoft.com/en-us/entra/identity/enterprise-apps/manage-application-permissions
Découvrez et partagez les dernières tendances, conseils et meilleures pratiques en matière de cybersécurité, ainsi que les nouvelles menaces à surveiller.
Des chercheurs étaient à la recherche d'un faux outil d'amélioration de photos et ont découvert quelque chose d'encore plus étrange : un kit de rançongiciel et un modèle d'IA…
Lire la suite
Depuis quatre ans, CyberHoot défend la même position sur son blog : les mots de passe constituent une faille majeure. Ils sont réutilisés…
Lire la suite
La Coupe du Monde de la FIFA 2026 a débuté le 11 juin aux États-Unis, au Canada et au Mexique. Six millions de supporters…
Lire la suiteAyez une vision plus précise des risques humains, grâce à une approche positive qui surpasse les tests de phishing traditionnels.
