Des attaquants abusent de Microsoft Teams pour se faire passer pour le support IT et diffuser malwares ou rançongiciels.

Des chercheurs en cybersécurité tirent la sonnette d’alarme. Selon eux, des cybercriminels détournent Microsoft Teams pour usurper l’identité du support informatique. Leur objectif est double : escroquer les employés ou installer des logiciels malveillants. Les analystes parlent d’un « schéma d’ingénierie sociale récurrent », observé dans des centaines de cas.

Cette tendance mérite l’attention des équipes de sécurité. En effet, elle ne repose sur aucune faille logicielle. Elle exploite une fonctionnalité légitime de la plateforme, ce qui la rend difficile à détecter.

Une arnaque récurrente sur Microsoft Teams

Les attaquants s’appuient sur la possibilité de créer des conversations avec des utilisateurs externes. Autrement dit, une personne extérieure à l’entreprise peut écrire directement à un employé. Le message arrive dans la même interface que les échanges internes. La victime baisse donc plus facilement sa garde.

Les chercheurs soulignent surtout la constance des méthodes employées. Les incidents analysés présentent des points communs frappants. Les assaillants réutilisent notamment les mêmes tenants jetables. Ils recourent aussi aux mêmes personas se présentant comme le support « IT ». Ce niveau de répétition suggère des procédures éprouvées, appliquées à grande échelle.

Par ailleurs, l’ampleur du phénomène change la donne. Il ne s’agit plus de tentatives isolées. Les cas se comptent en centaines, ce qui confirme une méthode industrialisée.

Comment fonctionne le faux support informatique

Le scénario type est simple. D’abord, l’attaquant crée un tenant Microsoft 365 temporaire. Ensuite, il lui donne un nom qui évoque l’assistance technique. Il contacte alors un employé via une conversation externe. Il prétend, par exemple, résoudre un problème de sécurité ou de compte.

La suite dépend de l’objectif visé. Dans certains cas, il s’agit d’une simple usurpation d’identité. L’attaquant cherche à obtenir des identifiants, des codes d’authentification ou des informations internes. Dans d’autres cas, il pousse la victime à lancer un outil ou un fichier. Cette action ouvre alors la porte à un malware.

Le titre de l’étude évoque également des rançongiciels. Une intrusion initiale réussie peut en effet servir de point d’entrée à un chiffrement des données. Le faux support n’est alors que la première étape d’une attaque plus large.

• Un tenant jetable est créé pour l’occasion.
• L’attaquant se fait passer pour un technicien du support.
• La victime est invitée à effectuer une action sur son poste.
• Un accès est obtenu, puis exploité par d’autres outils.

Pourquoi Microsoft Teams est un terrain idéal

Plusieurs raisons expliquent cet engouement. Tout d’abord, la plateforme est omniprésente en entreprise. Les employés y reçoivent des messages de collègues et de prestataires chaque jour. Un message d’un inconnu y paraît moins suspect que dans une boîte mail.

De plus, les employés connaissent bien les filtres de messagerie classiques. Ils savent que les courriels de phishing sont parfois bloqués ou signalés. Les messages de chat bénéficient souvent d’une confiance plus grande. Les passerelles de sécurité e-mail, en revanche, ne voient pas ces échanges.

Enfin, l’usage du faux support exploite un réflexe naturel. Quand le service informatique sollicite un employé, celui-ci coopère volontiers. Il veut éviter un blocage de son compte ou un incident de sécurité. L’urgence simulée fait le reste.

Recommandations pour les équipes de sécurité

Plusieurs mesures réduisent nettement le risque. Elles relèvent de la configuration comme de la sensibilisation.

• Limiter les échanges externes : restreignez la communication avec des organisations extérieures aux seuls domaines de confiance, via une liste d’autorisation.
• Surveiller les nouveaux tenants : repérez les conversations initiées par des tenants inconnus ou récemment créés.
• Encadrer les outils d’accès à distance : bloquez ou contrôlez les logiciels de prise en main que le support légitime n’utilise pas.
• Former les employés : rappelez que le vrai support ne demande jamais de mot de passe ni de code par chat.
• Définir un canal officiel : indiquez comment le service informatique contacte réellement le personnel.

Il est également utile d’afficher clairement les avertissements pour les contacts externes. Par ailleurs, encouragez le signalement rapide. Un employé qui alerte la sécurité après un message douteux peut stopper une attaque avant son déploiement.

Ce qu’il faut retenir

Les attaques par faux support sur Microsoft Teams forment un schéma désormais bien installé. Les chercheurs ont constaté des centaines de cas et des comportements très constants. Les attaquants réutilisent les mêmes tenants jetables et les mêmes personas liés au support IT.

Ainsi, la défense passe d’abord par la maîtrise des communications externes. Elle passe ensuite par une vigilance humaine renforcée. Toute demande inattendue d’un prétendu technicien doit être vérifiée par un autre canal. Cette précaution simple peut éviter une infection par malware, voire un rançongiciel.

Source : Attackers Use Microsoft Teams IT Support Scams to Deploy Malware and Ransomware