Une fuite NTLM se produit quand un poste Windows envoie automatiquement l’empreinte d’authentification de l’utilisateur vers un serveur contrôlé par un attaquant, souvent après la simple ouverture d’un message ou d’un fichier piégé. Pour la bloquer, il faut combiner trois mesures : appliquer les correctifs, empêcher le trafic NTLM et SMB de sortir vers Internet, puis réduire progressivement l’usage de NTLM dans votre réseau.
Le sujet n’est pas théorique. En novembre, Microsoft a corrigé une faille d’Outlook (CVE-2026-124194) déjà exploitée : un fichier de message spécialement conçu pousse Outlook à se connecter à un serveur externe sans avertissement, et l’empreinte NTLMv2 de l’utilisateur part avec la connexion. Ce scénario revient régulièrement, avec Outlook, l’Explorateur Windows ou des raccourcis piégés. Le correctif traite une faille ; les étapes ci-dessous traitent la famille entière.
Pourquoi une empreinte NTLM volée suffit à un attaquant
NTLM est l’ancien protocole d’authentification de Windows, toujours actif à côté de Kerberos dans la plupart des réseaux de PME. Quand un poste tente d’ouvrir une ressource réseau (un partage \\serveur\dossier, par exemple), il peut répondre au défi du serveur avec une valeur dérivée du mot de passe de l’utilisateur. Si ce serveur appartient à un attaquant, deux usages s’offrent à lui :
- Le cassage hors ligne : l’empreinte NTLMv2 est attaquée par dictionnaire sur une machine puissante. Un mot de passe court ou prévisible tombe vite.
- Le relais : l’authentification est rejouée en temps réel vers un autre service de votre réseau (serveur de fichiers, annuaire, messagerie) qui accepte NTLM sans signature.
Dans les deux cas, l’attaquant obtient l’identité de l’utilisateur sans jamais avoir vu son mot de passe en clair. Si cet utilisateur est administrateur, l’incident change d’échelle.
Bloquer la fuite NTLM en 7 étapes
Étape 1 : appliquez le correctif Outlook et Office
Commencez par le plus simple. Vérifiez que Microsoft 365 Apps est sur le canal de mise à jour géré et que les postes ont bien reçu le correctif de novembre. Pour Office LTSC, Microsoft indique les builds corrigées 16.0.14334.21048 (2021) et 16.0.17932.21140 (2024), selon l’analyse de GBHackers. Dans Fichier > Compte d’Outlook, le numéro de build s’affiche en quelques secondes ; contrôlez au moins un poste par service.
Étape 2 : bloquez le SMB sortant vers Internet
C’est la mesure la plus rentable. Une fuite NTLM vers l’extérieur passe le plus souvent par le port TCP 445 (SMB). Sur votre pare-feu périmétrique, interdisez tout trafic sortant vers les ports 445 et 139 à destination d’Internet. Aucune PME n’a de raison légitime d’ouvrir un partage de fichiers Windows chez un inconnu. Ajoutez la même règle sur le pare-feu Windows des postes nomades, qui travaillent hors de votre réseau : par GPO ou Intune, une règle sortante qui bloque le 445 vers toute adresse hors de vos plages internes.
Étape 3 : protégez les comptes à privilèges
Ajoutez vos comptes d’administration au groupe Protected Users de l’Active Directory. Les membres de ce groupe ne peuvent plus s’authentifier en NTLM : une empreinte volée devient inutilisable pour ces comptes. Testez d’abord avec un compte, car certaines applications anciennes cassent. Profitez-en pour vérifier que vos administrateurs n’utilisent pas leur compte à privilèges pour lire leurs e-mails ; c’est la première chose à corriger, comme nous le détaillons dans notre article sur la réduction des privilèges en PME.
Étape 4 : auditez le trafic NTLM avant de le restreindre
Ne coupez pas NTLM à l’aveugle. Dans une GPO appliquée à vos postes et serveurs, activez les paramètres « Sécurité réseau : Restreindre NTLM : Auditer le trafic NTLM entrant » et « Trafic NTLM sortant vers des serveurs distants » en mode audit, comme le décrit la documentation Microsoft. Les événements remontent dans le journal Microsoft-Windows-NTLM/Operational. Laissez tourner deux à quatre semaines pour couvrir les traitements mensuels (paie, clôture, sauvegardes).
Étape 5 : restreignez le NTLM sortant avec une liste d’exceptions
Une fois l’audit lu, passez le paramètre sortant sur « Refuser tout », en ajoutant dans la liste d’exceptions les seuls serveurs internes qui en ont encore besoin (un vieux NAS, un copieur, une application métier). C’est cette règle qui neutralise vraiment la famille de failles : même si un futur fichier piégé déclenche une connexion externe, le poste refusera d’envoyer son empreinte. Gardez la liste d’exceptions courte et datée, avec un responsable par ligne.
Étape 6 : exigez la signature SMB et durcissez les services internes
Le relais NTLM ne fonctionne que si le service cible accepte des sessions non signées. Exigez la signature SMB sur vos serveurs de fichiers et contrôleurs de domaine (les versions récentes de Windows la proposent par défaut, mais les serveurs anciens ou migrés ne l’ont souvent pas). Microsoft en détaille la configuration dans son guide sur la signature SMB. Activez aussi la protection étendue de l’authentification (EPA) sur les services web internes qui acceptent encore NTLM, comme les services de certificats.
Étape 7 : surveillez les authentifications vers l’extérieur
Un blocage peut avoir des trous ; la surveillance les révèle. Faites remonter dans votre outil de supervision les tentatives de connexion SMB sortantes bloquées par le pare-feu, ainsi que les événements NTLM vers des noms ou adresses inconnus. Une tentative isolée après l’ouverture d’un e-mail est un signal précis : identifiez le message, retirez-le des autres boîtes et changez le mot de passe de l’utilisateur concerné. Ces signaux faibles, corrélés avec la messagerie et l’annuaire, sont exactement ce que traite notre SOC.
Une fuite d’identifiants se détecte et se contient avec une surveillance continue : découvrez notre SOC managé 24/7 pour PME et ETI.
Les pièges à éviter quand on restreint NTLM
Le premier piège est de tout couper un vendredi. Les copieurs multifonctions, les NAS anciens, certains logiciels de comptabilité et les applications métier développées il y a dix ans authentifient encore en NTLM. Sans audit préalable, vous découvrirez la panne par les utilisateurs.
Le deuxième piège est d’oublier les postes nomades. La règle du pare-feu périmétrique ne protège pas un ordinateur portable connecté au Wi-Fi d’un hôtel. La restriction du NTLM sortant et la règle de pare-feu Windows, déployées par GPO ou Intune, suivent le poste partout.
Le troisième piège est de compter sur le correctif seul. Chaque année apporte une nouvelle variante : un fichier de message, un raccourci, un thème Windows, une URL de recherche. Si votre réseau laisse partir les empreintes NTLM vers Internet, la prochaine variante fonctionnera avant le correctif suivant. Les recommandations de l’ANSSI sur Active Directory vont dans ce sens : réduire NTLM au strict nécessaire, puis le désactiver.
Enfin, un mot de passe robuste reste votre dernier rempart contre le cassage hors ligne. Une empreinte NTLMv2 d’un mot de passe long et unique a peu de valeur ; celle de « Printemps2026 » en a beaucoup. Si vous utilisez Microsoft 365, nos 10 réglages clés pour sécuriser Microsoft 365 complètent ce travail côté cloud.
Combien de temps prévoir pour une PME
Pour une structure de 50 à 200 postes avec un seul domaine Active Directory, comptez une demi-journée pour les étapes 1 à 3, quelques heures de configuration pour lancer l’audit de l’étape 4, puis deux à quatre semaines d’observation. La restriction de l’étape 5 et la signature SMB de l’étape 6 se déploient ensuite par vagues, un service à la fois. Le blocage du port 445 sortant, lui, se fait dès aujourd’hui.
Ce qu’il faut retenir
- Une fuite NTLM donne à l’attaquant de quoi casser le mot de passe ou relayer l’identité, sans interaction supplémentaire.
- Bloquer le SMB sortant (TCP 445) vers Internet est la mesure la plus rapide et la plus rentable.
- Le groupe Protected Users protège immédiatement les comptes d’administration.
- Auditez avant de restreindre NTLM, puis refusez le trafic sortant avec une courte liste d’exceptions.
- Le correctif Outlook de novembre est indispensable, mais ne remplace pas ces mesures de fond.
Sources
- Microsoft Security Response Center : CVE-2026-124194, Outlook
- Microsoft Learn : restreindre le trafic NTLM sortant vers des serveurs distants
- Microsoft Learn : vue d’ensemble de la signature SMB
- ANSSI : recommandations de sécurité relatives à Active Directory
- GBHackers : faille Outlook exploitée pour voler des empreintes NTLM