Quatre minutes entre la détection
et une intrusion contenue.
Comment notre SOC genevois a intercepté une campagne distribuée de credential stuffing contre une organisation internationale — à 02h41, avant qu'un seul compte ne soit compromis.
Le défi
Une organisation internationale basée à Genève, avec du personnel réparti sur plusieurs bureaux de terrain, s'appuyait sur Microsoft 365 pour la messagerie et la collaboration. Comme toute organisation de ce type, ses collaborateurs réutilisaient leurs mots de passe d'un service à l'autre — et certains de ces services avaient été compromis ailleurs. Une cible idéale pour le credential stuffing : des tentatives de connexion automatisées à partir de couples identifiant/mot de passe issus de fuites tierces, réparties sur des proxys résidentiels pour rester sous les seuils de verrouillage.
Ce que nous avons fait
Le tenant du client était sous SOC géré InterHyve. La télémétrie d'identité alimentait notre surveillance en continu — et un mardi à 02h41, notre analytique a corrélé une vague lente d'échecs de connexion sur trente boîtes aux lettres, provenant de quatre continents. Aucune source ne déclenchait d'alerte à elle seule ; ensemble, elles formaient la signature caractéristique du credential stuffing.
En deux minutes, la politique d'accès conditionnel a été durcie pour imposer le MFA sur chaque connexion inhabituelle, et les plages réseau attaquantes ont été bloquées au niveau identité. Un compte a renvoyé une authentification de premier facteur valide — mais le défi MFA n'a jamais été complété. Les sessions de ce compte ont été révoquées et son mot de passe réinitialisé d'office. Une recherche rétroactive sur trente jours a confirmé l'absence d'accès antérieur depuis l'infrastructure de la campagne.
Le résultat
Aucune donnée consultée. Aucun compte compromis. Au matin, le client disposait d'un débrief d'une page avec quatre actions concrètes. Le seul couple d'identifiants valide — réutilisé depuis une fuite tierce un an plus tôt — a été réinitialisé avant de pouvoir servir. L'ensemble de l'événement, de la détection au confinement, a duré quatre minutes.
Ce qui a fait la différence
Trois contrôles ont fait le travail, aucun exotique : le MFA sur chaque compte, sans exception pour les protocoles hérités ; une télémétrie d'identité qui alimente un SOC qui la regarde à 02h41 et pas seulement à 09h00 ; et un accès conditionnel durcissable en quelques minutes quand la situation change. Les quatre minutes ne sont pas du marketing — c'est l'écart entre détection et confinement quand quelqu'un surveille vraiment.
Si vous ne savez pas qui surveillait votre tenant à 02h41 la nuit dernière, c'est exactement l'écart que comble notre SOC-as-a-Service.
Les détails ont été modifiés pour protéger le client ; le schéma et la réponse sont fidèles à la réalité.
Confiez la surveillance de votre tenant à notre SOCExaminons votre environnement.
Une heure d'évaluation avec un ingénieur senior. Sans script commercial, sans engagement.