On imagine souvent qu'une cyberattaque commence par une faille technique sophistiquée. La réalité est souvent bien plus simple : la sécurité des comptes de service en entreprise reste l'un des angles morts les plus exploités. Une récente campagne a ainsi compromis plusieurs comptes Microsoft 365, tous identifiés comme des comptes de service oubliés, sans authentification multifacteur activée. Sur plus de 5 700 comptes ciblés, ce sont précisément ces comptes délaissés qui ont cédé.
Qu'est-ce qu'un compte de service, et pourquoi il pose problème
Un compte de service est un compte technique créé pour faire fonctionner une application, un script automatisé, ou une intégration entre deux systèmes. Contrairement à un compte utilisateur classique, personne ne se connecte dessus au quotidien. C'est justement ce qui le rend dangereux : il est créé une fois, puis oublié, souvent sans MFA activée, avec des identifiants qui ne changent jamais.
Avec le temps, ces comptes s'accumulent. Un projet se termine, l'intégration n'est plus utilisée, mais le compte reste actif, avec ses accès intacts, quelque part dans l'annuaire de l'entreprise.
Pourquoi les attaquants les ciblent en priorité
Un compte de service oublié présente tous les avantages pour un attaquant : personne ne remarque une connexion suspecte puisque personne ne surveille son activité normale, et l'absence de MFA supprime la principale barrière de protection. Une fois ce compte compromis, il devient un point d'accès discret vers le reste de l'environnement Microsoft 365.
Le lien avec une gestion des identités plus large
Ce problème illustre une règle simple : la sécurité d'un environnement Microsoft 365 repose autant sur la gestion des identités que sur les outils de protection eux-mêmes. Nous détaillions cette logique dans notre article sur Microsoft Entra ID et l'identité numérique : chaque compte, humain ou technique, doit être suivi avec la même rigueur.
Cette vigilance devient encore plus importante à mesure que les usages IA se multiplient dans l'environnement Microsoft 365, comme nous le détaillions dans notre article sur Microsoft Copilot en entreprise. Un compte compromis peut aujourd'hui donner accès non seulement à des fichiers, mais aussi aux capacités d'un agent IA connecté à ces mêmes données.
Une logique qui dépasse Microsoft 365
Le principe s'applique à n'importe quel environnement technique, pas seulement à Microsoft 365. C'est la même philosophie Zero Trust que nous développions dans notre article sur Cisco Secure Access : ne jamais partir du principe qu'un compte est sûr simplement parce qu'il existe depuis longtemps.
Comment reprendre le contrôle
- Faire l'inventaire de tous les comptes de service existants dans l'environnement Microsoft 365
- Désactiver ou supprimer les comptes liés à des projets ou intégrations qui ne sont plus utilisés
- Activer la MFA sur l'ensemble des comptes restants, y compris les comptes techniques
- Mettre en place une revue périodique des comptes, et pas seulement au moment de leur création
Comment NextHope accompagne cet audit
Chez NextHope Madagascar, nous constatons régulièrement que les entreprises n'ont pas de vision complète de leurs comptes de service actifs. Notre équipe propose un audit de l'environnement Microsoft 365, incluant l'identification des comptes à risque et la mise en place d'une politique de MFA cohérente sur l'ensemble des accès, humains comme techniques.
Foire aux questions
Comment identifier les comptes de service oubliés dans mon organisation ?
Un audit de l'annuaire Microsoft 365 permet de repérer les comptes techniques sans activité récente ou sans MFA activée. Notre équipe peut réaliser ce diagnostic.
Peut-on activer la MFA sur un compte de service sans casser l'application qui l'utilise ?
Oui, avec les bonnes méthodes, comme l'authentification par certificat ou l'accès conditionnel, adaptées aux comptes techniques plutôt qu'à un usage humain classique.
Pourquoi ces comptes sont-ils si souvent négligés ?
Parce qu'ils ne concernent aucun utilisateur au quotidien. Sans processus de suivi dédié, ils sortent naturellement du radar des équipes IT.
Une petite structure a-t-elle vraiment des comptes de service à surveiller ?
Oui, dès qu'une intégration technique ou un script automatisé a été mis en place un jour, même par un prestataire externe, un compte de service existe probablement encore dans l'environnement.
Ranarison Tsilavo, CEO de NextHope Madagascar
Depuis plus de dix ans, Ranarison Tsilavo pilote NextHope Madagascar avec une conviction simple : les entreprises malgaches et de la région Océan Indien méritent des infrastructures IT aussi solides que celles des grands groupes internationaux. Sous sa direction, l'équipe NextHope accompagne aujourd'hui ses clients dans la gestion des identités et la sécurisation de leurs environnements Microsoft 365. Retrouvez son actualité et ses prises de position sur son profil LinkedIn.
