Un outil de piratage IA a lancé 2 900 tentatives de connexion par minute : la double authentification est-elle activée sur les comptes de votre entreprise ?

ARTEX, un outil de piratage piloté par des agents d'IA, est à la portée de tout attaquant : le 5 novembre 2026, Censys a recensé plus de 1 465 serveurs exposés qui le font tourner, et un groupe lié à la Chine l'a utilisé pour deviner des mots de passe à 2 900 tentatives de connexion par minute. La parade la plus simple est la double authentification, qui réduit le risque de compromission de 99,22 % selon une étude de Microsoft. Cette semaine : imposez-la sur la messagerie et l'administration, coupez les anciens protocoles de messagerie et suivez qui ne s'est pas inscrit. Si votre entreprise connecte des applications externes à Microsoft 365, lisez aussi notre article sur l'intrusion ConnectWise, car cette faille ne se ferme pas avec la seule double authentification.

Qu'est-ce qu'ARTEX et pourquoi vous concerne-t-il ?

ARTEX est un cadre open source de test d'intrusion automatisé que son développeur a publié sur GitHub le 26 juillet 2026. Selon le rapport de Censys publié le 5 novembre 2026, un agent d'IA planifie l'attaque et la découpe en tâches, d'autres agents exécutent les outils d'analyse et renvoient les résultats, et la boucle se répète jusqu'à atteindre l'objectif. Microsoft le décrit comme capable de conduire une attaque de la reconnaissance jusqu'au vol de données avec peu d'intervention humaine.

Après la révélation de son usage dans de vraies attaques, le développeur a annoncé le passage en code fermé et supprimé le dépôt, mais des copies archivées et des versions renommées circulent toujours. Censys a compté environ 815 déploiements indépendants après avoir écarté les serveurs configurés à l'identique, dont 726 serveurs aux États-Unis, 387 à Hong Kong et 177 en Chine. Concrètement, ce qui demandait une équipe d'attaquants ne demande plus qu'une personne et un outil gratuit.

Qu'ont réellement fait les attaquants avec cet outil ?

Dans son rapport publié le 21 octobre 2026, Microsoft a documenté une campagne du groupe qu'il suit sous le nom de Storm-0940, qui a utilisé ARTEX pour deviner automatiquement des mots de passe entre le 10 et le 14 octobre :

• 327 comptes dans 8 organisations ont subi une pulvérisation de mots de passe, c'est-à-dire l'essai de mots de passe courants sur de nombreux comptes.
• Plus de 151 000 connexions échouées, dont plus de 111 000 en une seule journée, avec un pic de 2 900 tentatives par minute le 11 octobre.
• 48 comptes ont chacun reçu plus de 1 000 tentatives échouées.
• Lors d'autres attaques du même groupe, moins de 3 heures se sont écoulées entre le premier ciblage et un accès à privilèges sur l'infrastructure cloud.

Microsoft indique n'avoir observé aucune connexion réussie issue de cette campagne précise, car le verrouillage des comptes en a absorbé l'essentiel. Mais TechCrunch résumait le 6 novembre que nombre de ces attaques ont exploité des faiblesses simples : des mots de passe faibles ou connus, et l'absence d'authentification multifacteur.

Pourquoi un mot de passe seul ne suffit plus

Il ne suffit plus. Une machine ne se lasse pas et ne dort pas, et tout compte doté d'un mot de passe réutilisé ou déjà divulgué sera essayé tôt ou tard. La double authentification ajoute un second facteur que l'attaquant ne possède pas : un code dans une application sur le téléphone du salarié, une clé de sécurité ou une clé d'accès. Des chercheurs de Microsoft ont analysé de vrais comptes présentant une activité suspecte et constaté, dans leur étude publiée, que la double authentification réduit le risque de compromission de 99,22 %, et de 98,56 % même lorsque le mot de passe a déjà fuité. Ils ont aussi observé que les applications d'authentification font mieux que les codes par SMS, même si les deux valent bien mieux que rien.

Un avertissement important de la documentation de Microsoft : les anciens protocoles de messagerie comme IMAP, POP3 et SMTP ne prennent pas en charge la double authentification, si bien qu'un attaquant peut se connecter par leur biais et contourner toute la protection. L'activation n'est complète qu'une fois ces protocoles coupés.

Que disent les contrôles de l'Autorité nationale de cybersécurité ?

Les contrôles essentiels de cybersécurité ECC-2:2024 publiés par l'Autorité nationale de cybersécurité d'Arabie saoudite (NCA) exigent l'authentification multifacteur à au moins trois endroits :

• Contrôle 2-2-3-2 : pour l'accès à distance et pour les comptes à privilèges.
• Contrôle 2-4-3-2 : pour l'accès à distance à la messagerie et l'accès par webmail.
• Contrôle 2-15-3-5 : pour l'accès des utilisateurs aux applications web externes.

Ces contrôles s'imposent aux administrations, à leurs sociétés affiliées et aux entités privées qui possèdent, exploitent ou hébergent des infrastructures nationales critiques, et l'Autorité encourage vivement toutes les autres entités du Royaume à s'en servir. Si vous fournissez des services à une entité publique, attendez-vous à être interrogé à ce sujet lors de l'évaluation des fournisseurs.

Les étapes pour l'activer cette semaine

• Microsoft 365 : dans le centre d'administration Microsoft Entra, ouvrez Entra ID, puis Overview, puis Properties, puis Manage security defaults, et activez-les. Ces paramètres de sécurité par défaut sont gratuits, ne demandent aucune licence supplémentaire, imposent la double authentification aux administrateurs et bloquent les anciens protocoles. Microsoft recommande deux comptes d'administration d'urgence non rattachés à un salarié précis pour ne jamais vous enfermer dehors.
• Google Workspace : dans Menu, puis Security, puis Authentication, puis 2-step verification, autorisez d'abord le personnel à s'inscrire, puis imposez-la à partir d'une date fixée. Google permet une période d'inscription des nouveaux utilisateurs de 1 jour à 6 mois, et vous pouvez exiger des clés de sécurité ou des clés d'accès pour la direction et la finance.
• Priorité : commencez par les comptes d'administration, de finance et de messagerie, puis le reste du personnel, puis les autres systèmes comme la comptabilité, la boutique en ligne et les panneaux d'hébergement.
• Suivi : demandez chaque semaine la liste de ceux qui ne se sont pas inscrits, et n'accordez que des exceptions temporaires, motivées par écrit.

Le regard d'Origami

Ce qui a changé n'est pas le type d'attaque, car deviner des mots de passe est une vieille technique, mais son coût : elle est désormais automatisée, bon marché et accessible à tous. Une entreprise dont la messagerie et la comptabilité s'ouvrent encore avec un simple mot de passe parie que l'attaquant ne viendra jamais, et ce pari finit par être perdu.

C'est pourquoi chaque système livré par Origami est conçu pour que la connexion passe par au moins deux facteurs, reliée à l'authentification unique lorsque l'entreprise a déjà un compte Microsoft ou Google, comme nous l'expliquions dans notre article sur l'authentification sécurisée et le SSO. Si vous souhaitez faire examiner la façon dont vos équipes se connectent à vos systèmes, ou les relier à un compte unique protégé, contactez-nous.

Conclusion

Un outil d'attaque IA gratuit essaie désormais des milliers de mots de passe par minute sans se fatiguer. La double authentification, avec la coupure des anciens protocoles, ferme l'essentiel de cette porte, et elle s'active dans Microsoft 365 et Google en quelques jours sans coût supplémentaire. Commencez aujourd'hui par la direction et la finance, et n'attendez pas que votre compte figure sur la liste des victimes du prochain rapport.