Introduction
Microsoft a annoncé un changement majeur dans la sécurité de sa messagerie cloud. Exchange Online va progressivement abandonner l’authentification SMTP de base, une méthode ancienne et vulnérable largement exploitée par les cybercriminels. Cette décision vise à réduire drastiquement les compromissions de comptes et les campagnes de phishing à grande échelle.
Pourquoi l’authentification SMTP de base est dangereuse
L’authentification SMTP de base repose uniquement sur un nom d’utilisateur et un mot de passe transmis sans protections avancées. Cette faiblesse en fait une cible idéale pour les attaques modernes.
Depuis plusieurs années, les attaquants exploitent ce mécanisme pour :
- mener des attaques par pulvérisation de mots de passe,
- réutiliser des identifiants volés,
- détourner des comptes pour envoyer du spam, du phishing et des attaques BEC.
Une fois les identifiants compromis, les messages malveillants semblent provenir d’un utilisateur légitime, ce qui permet de contourner de nombreux filtres de sécurité.
Comment les attaquants exploitent SMTP AUTH
Contrairement aux infections classiques par malware, SMTP AUTH est utilisé comme point d’entrée discret.
Les attaquants :
- lancent des attaques automatisées sur les serveurs SMTP,
- identifient des identifiants valides,
- envoient massivement des emails malveillants depuis l’infrastructure de l’entreprise.
Ces emails servent ensuite à voler d’autres identifiants, diffuser des liens malveillants ou déclencher des fraudes financières.
Calendrier de suppression annoncé par Microsoft
Microsoft laisse un délai aux organisations pour s’adapter :
- Jusqu’en décembre 2026 : SMTP AUTH de base reste fonctionnel
- Fin décembre 2026 : désactivation par défaut pour les locataires existants
- Nouveaux locataires après décembre 2026 : SMTP AUTH de base indisponible
- Méthode recommandée : authentification moderne basée sur OAuth
Les administrateurs pourront temporairement réactiver SMTP AUTH le temps de migrer leurs applications et équipements hérités.
Comment se protéger et anticiper
Pour éviter toute interruption et renforcer la sécurité, il est fortement recommandé de :
- Identifier les applications, imprimantes et scripts utilisant encore SMTP AUTH
- Migrer vers OAuth ou Microsoft Graph
- Activer l’authentification multifacteurs (MFA)
- Mettre en place des règles d’accès conditionnel
- Surveiller les journaux de connexion SMTP
- Désactiver SMTP AUTH lorsqu’il n’est plus nécessaire
Conclusion
La suppression de l’authentification SMTP de base marque une étape clé dans la sécurisation des environnements cloud Microsoft. Ce changement réduit considérablement les risques de compromission de comptes et de campagnes d’hameçonnage internes. Les organisations ont désormais le temps d’anticiper, mais celles qui tardent s’exposeront à des risques majeurs.
