Des arnaques sur Microsoft Teams utilisent l'usurpation d'identité IT pour déployer des ransomwares

Des chercheurs en cybersécurité ont identifié une vague persistante d'attaques par ingénierie sociale ciblant les organisations via Microsoft Teams. Les acteurs malveillants créent de fausses identités de support informatique pour inciter les employés à accorder un accès à distance, ce qui aboutit finalement à l'installation de logiciels malveillants et au déploiement de ransomwares. Ce schéma, mis en évidence dans un rapport d'Arctic Wolf Labs partagé avec The Hacker News le 26 octobre 2026, exploite la confiance accordée aux canaux de communication internes plutôt que des vulnérabilités logicielles techniques.

Ce qui s'est passé

Le vecteur d'attaque commence par la création de nouveaux locataires Microsoft 365 ou l'acquisition de ceux existants. Les attaquants utilisent ces locataires pour générer des comptes Teams avec des noms d'affichage imitant le personnel informatique interne, tels que « Help Desk », « IT Support » ou des noms spécifiques comme « IT Service Desk – Liam ». Ces comptes utilisent souvent le domaine par défaut *.onmicrosoft[.]com, avec des noms de locataire choisis pour paraître légitimes, tels que helpdeskteam365 ou itcoreportal. Ces derniers mois, on observe une tendance vers l'utilisation de domaines de premier niveau payants, environ 50 % des fausses identités utilisant le TLD .top et 40 % utilisant .com.

Avant d'initier le contact sur Teams, les attaquants inondent souvent la boîte de réception e-mail de la victime avec des centaines d'abonnements à des newsletters ou d'e-mails de confirmation. Ce « mail bombing » crée un sentiment d'urgence et de confusion. Peu après, la victime reçoit un message Teams du faux compte de support informatique proposant de l'aide pour résoudre le problème lié aux e-mails. Ce timing est conçu pour abaisser la garde de la victime et faire paraître l'offre de support non sollicitée utile plutôt que suspecte.

Une fois la conversation engagée, l'attaquant utilise des techniques d'ingénierie sociale, y compris des appels vocaux (vishing), pour persuader l'utilisateur d'installer des outils légitimes de surveillance et de gestion à distance (RMM) tels que Quick Assist, AnyDesk ou TeamViewer. Après avoir obtenu un accès clavier-écran, l'attaquant effectue une reconnaissance, se déplace latéralement vers les contrôleurs de domaine et déploie des charges utiles supplémentaires. Dans certains cas, ils instruisent les utilisateurs d'exécuter des commandes PowerShell qui téléchargent des installateurs malveillants depuis Azure Blob Storage, entraînant l'exécution de backdoors comme GoGRPC et, ultimement, du ransomware Chaos.

Détails clés

• Les attaquants utilisent de nouveaux locataires Microsoft 365 avec des noms à thème informatique pour établir leur crédibilité dans les chats Teams externes.
• Près de 30 à 40 % des cas examinés impliquent l'utilisation de domaines de repli *.onmicrosoft[.]com pour masquer l'origine des messages.
• Le mail bombing est utilisé comme tactique préliminaire pour créer un sentiment d'urgence avant que le faux message de support informatique n'arrive dans Teams.
• Les faux noms d'affichage incluent souvent le domaine de l'organisation cible ou des titres informatiques courants tels que « HelpDesk Supervisor » ou « Enterprise IT & Security (Internal) ».
• Les attaquants évitent d'envoyer des liens directs dans Teams pour contourner les analyses de sécurité, guidant plutôt les utilisateurs vers le téléchargement de charges utiles lors de sessions à distance.
• La phase finale de l'attaque implique souvent le déploiement du ransomware Chaos après exfiltration de données et mouvement latéral.

Contexte

L'ingénierie sociale repose sur la manipulation de la psychologie humaine plutôt que sur l'exploitation de failles techniques dans les logiciels. Dans ce scénario, les attaquants tirent parti de la confiance inhérente que les employés accordent aux départements informatiques internes. En imitant le langage, le ton et l'urgence des demandes de support authentiques, ils contournent les formations standard à la sensibilisation à la sécurité qui se concentrent sur les e-mails suspects ou les liens inconnus. L'utilisation d'outils RMM légitimes complique davantage la détection, car ces applications sont souvent approuvées pour une utilisation au sein des organisations pour des tâches de maintenance réelles.

Microsoft Teams autorise le chat externe par défaut dans de nombreuses configurations, permettant aux utilisateurs de différentes organisations de communiquer. Bien que cela facilite la collaboration, cela ouvre également une porte aux acteurs malveillants qui peuvent facilement créer des comptes Microsoft 365 gratuits ou à faible coût. La combinaison de l'accès externe, d'une usurpation d'identité convaincante et de l'utilisation d'outils de confiance crée un environnement à haut risque où les défenses périmétriques traditionnelles peuvent échouer à détecter la compromission initiale.

Pourquoi c'est important

Pour les équipes qui gèrent leurs propres logiciels et infrastructures, cette tendance met en évidence une lacune critique dans la posture de sécurité : la surveillance de l'identité et du comportement. Les filtres e-mail traditionnels peuvent intercepter le mail bombing initial, mais ils ne peuvent pas empêcher l'interaction Teams subséquente. Si le chat externe est activé, tout employé peut être la cible d'un imposteur convaincant. L'impact est sévère, car l'obtention d'un accès à distance permet aux attaquants de se déplacer latéralement sur le réseau, compromettant potentiellement les contrôleurs de domaine et les magasins de données sensibles.

L'utilisation d'outils légitimes comme les logiciels RMM rend ces attaques difficiles à détecter avec les protections de point de terminaison standard. Puisque les outils eux-mêmes ne sont pas malveillants, les systèmes de sécurité peuvent ne pas signaler leur installation ou leur utilisation. Cela signifie que la télémétrie provenant des fournisseurs d'identité et des journaux d'activité des points de terminaison devient essentielle pour détecter les comportements anormaux, tels que des sessions d'accès à distance inhabituelles ou des commandes PowerShell exécutées par du personnel non technique. Les organisations doivent reconnaître que la confiance est désormais une surface d'attaque nécessitant une gestion active.

Ce que vous pouvez faire

• Restreignez l'accès au chat externe dans Microsoft Teams uniquement aux partenaires et fournisseurs nécessaires, en le désactivant pour les utilisateurs généraux lorsque possible.
• Mettez en œuvre des politiques strictes concernant l'installation et l'utilisation d'outils d'accès à distance, exigeant une approbation de la sécurité informatique avant toute utilisation.
• Formez les employés à vérifier l'identité de toute personne prétendant être du support informatique, surtout si elles initient le contact via chat ou téléphone.
• Surveillez les pics inhabituels de trafic e-mail (mail bombing) et corrélisez-les avec les messages Teams subséquents provenant d'utilisateurs externes inconnus.
• Activez l'authentification multifacteur et les politiques d'accès conditionnel pour limiter la capacité des comptes compromis à effectuer des actions sensibles.
• Revoyez et auditez les journaux pour l'exécution de PowerShell et l'utilisation d'outils RMM, recherchant des modèles qui s'écartent des activités administratives normales.