Ce qu’il faut retenir
Arctic Wolf a analysé plus de 400 incidents où des pirates se font passer pour le support informatique sur Microsoft Teams. Il ne s’agit pas d’une faille de Teams : les attaquants détournent une fonction normale, l’accès externe, qui est activée par défaut. Le scénario est toujours le même : la boîte mail de la victime est d’abord inondée de messages, puis un faux « technicien » la contacte sur Teams pour « régler le problème » et lui fait lancer un outil de prise en main à distance. Dans les cas rapportés, le programme malveillant est exécuté en moins de 15 minutes après la réponse de la victime.
Qui est concerné ?
| Qui | Toute entreprise qui utilise Microsoft Teams avec l’accès externe (fédération) autorisé, ce qui est le réglage par défaut |
| Type d’attaque | Ingénierie sociale : aucune faille logicielle à corriger |
| Ce qui est détourné | La possibilité, pour un utilisateur d’une autre organisation Microsoft 365, de contacter vos collaborateurs sur Teams |
| Source | Rapport d’Arctic Wolf Labs |
Quel est le risque concret ?
Le faux technicien convainc le collaborateur d’autoriser une prise en main à distance de son ordinateur. À partir de là, il peut installer un programme malveillant, s’installer durablement avec un outil d’administration à distance, puis se déplacer dans le réseau de l’entreprise. Arctic Wolf rappelle que cette méthode a été documentée par Microsoft dès 2024 dans une campagne liée à des rançongiciels (Black Basta), et qu’elle a été reprise depuis par d’autres groupes. Le risque est donc une intrusion pouvant mener à un vol de données ou à un rançongiciel.
Priorité de traitement
Justification : il n’y a pas de correctif à installer, mais une configuration à vérifier et une consigne simple à donner à vos équipes dès cette semaine.
Que faut-il faire ?
- Prévenir vos collaborateurs : après une avalanche d’e-mails inhabituels, un contact « support informatique » qui les appelle ou leur écrit sur Teams doit être vérifié avant toute chose. En cas de doute, ils raccrochent et appellent le service informatique avec un numéro qu’ils connaissent déjà.
- Leur demander de ne jamais lancer Assistance rapide, AnyDesk, TeamViewer ou ScreenConnect à la demande d’un contact non vérifié.
- Dans le centre d’administration Microsoft 365 (paramètres de Teams, accès externe), limiter la communication externe aux domaines de vos partenaires, ou la désactiver si elle est inutile.
- Si l’outil Assistance rapide de Windows ne sert pas dans l’entreprise, le bloquer.
- Demander à vos collaborateurs de signaler tout message de ce type : un seul signalement peut permettre de protéger les autres.
Recommandation Chrysalead
Nous recommandons de faire passer cette consigne à vos équipes cette semaine, et de faire vérifier votre réglage d’accès externe dans Teams. C’est une action simple qui coupe l’un des chemins d’entrée les plus utilisés actuellement. Contactez-nous si vous souhaitez que nous vérifiions la configuration de votre tenant Microsoft 365.
Détails techniques : ce qu’Arctic Wolf a observé
| Constat | Détail |
|---|---|
| Ampleur | Plus de 400 incidents analysés par Arctic Wolf |
| Noms affichés | Des noms du type « IT Support (Internal) » : le suffixe « (Internal) » est choisi pour affaiblir l’avertissement « externe » de Teams |
| Domaines utilisés | De 30 à 40 % des cas utilisent le domaine gratuit onmicrosoft.com ; la tendance va vers des domaines payants, dont environ la moitié en .top |
| Enchaînement | E-mails en rafale, puis message ou appel Teams d’un faux support, puis outil de prise en main à distance (Assistance rapide en tête) et programme malveillant |
| Rapidité | Exécution du programme malveillant en moins de 15 minutes après la réponse de la victime |
| Détection | Arctic Wolf détecte cette activité dès la création de la conversation, avant même que la victime réponde |
Sources
Articles et services associés
- Accès externe (fédération) Teams
- Réglage qui permet aux utilisateurs d’autres organisations Microsoft 365 de vous contacter sur Teams.
- Ingénierie sociale
- Technique qui consiste à manipuler une personne pour qu’elle fasse elle-même ce que veut l’attaquant.
- Vishing
- Hameçonnage par téléphone ou appel vocal : le pirate se fait passer pour quelqu’un de confiance.
- Assistance rapide
- Outil intégré à Windows qui permet à quelqu’un de prendre le contrôle de votre ordinateur à distance.
- Rançongiciel
- Programme qui bloque les fichiers d’une entreprise et exige une rançon.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir du rapport d’Arctic Wolf Labs (consulté le 12/11/2026). Les informations peuvent évoluer : vérifiez toujours la source officielle avant toute intervention sur vos équipements.