Authentification héritée

L'authentification héritée désigne les protocoles de connexion qui ne transportent qu'un identifiant et un mot de passe et ne savent pas demander de second facteur. Dans la messagerie, ce sont IMAP, POP, SMTP authentifié et les anciens modes d'Exchange ActiveSync ; côté annuaire, NTLM et les applications qui se connectent en LDAP simple. Le défaut tient à la conception : la MFA (authentification multi-facteurs) activée sur le compte ne s'applique pas quand la session passe par l'un d'eux. La pulvérisation de mots de passe, quelques mots de passe courants essayés sur des milliers de comptes, vise précisément ces points d'entrée. L'attaquant obtient une boîte aux lettres sans jamais voir d'invite MFA, et la fraude au virement commence là. Microsoft a commencé à désactiver l'authentification de base dans Exchange Online le 1er octobre 2022, après plusieurs reports. Le sujet n'a pas disparu pour autant. Restent les serveurs Exchange sur site, les applications métier qui envoient du courrier en SMTP authentifié, les copieurs multifonctions et les annuaires où NTLM tourne toujours. Dans les journaux, ce qui garde ces protocoles ouverts est le plus souvent un équipement oublié : un copieur, un onduleur qui envoie ses alertes, un vieux script de facturation. Le questionnaire cyber pose la question de deux façons : directement (l'authentification héritée est-elle bloquée ?) et par ricochet, quand il demande si la MFA couvre tous les accès à la messagerie. Un « oui » à la seconde avec des protocoles hérités ouverts est une réponse fausse, même de bonne foi. La preuve se lit dans la politique d'accès conditionnel qui bloque les clients hérités, ou dans les journaux de connexion filtrés par type de client. Les souscripteurs demandent de plus en plus cette capture plutôt qu'une case cochée.