Le 26 octobre 2026, Arctic Wolf Labs a publié l’analyse de plus de 400 incidents où des attaquants ont utilisé la messagerie externe de Microsoft Teams pour se faire passer pour le support informatique. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, détection, questions d’audit ISO 27001 et pistes de sensibilisation. Elle repose sur le rapport d’Arctic Wolf et sa reprise par The Hacker News ; le rapport agrège des cas de plusieurs acteurs et ne détaille ni les secteurs touchés ni la part des incidents ayant abouti à un rançongiciel.
Pour une lecture orientée dirigeant, voir notre décryptage « Faux support informatique sur Teams : une discussion suffit pour prendre la main sur un poste ».
Contexte
- Sources : Arctic Wolf, 26 octobre 2026 ; The Hacker News, 26 octobre 2026.
- Périmètre : plus de 400 incidents chez des clients d’Arctic Wolf ayant l’accès externe (fédération) de Teams ouvert ; aucune victime nommée.
- Acteurs : plusieurs. Le schéma prolonge celui documenté par Microsoft en 2024 (Black Basta, Storm-1811 : bombardement de mails, faux support Teams, Assistance rapide, puis chargeurs et rançongiciel), puis observé dans les campagnes Cactus, 3AM, Chaos (STAC4749 selon Sophos) et GoGRPC (selon Zscaler).
- Nature : ingénierie sociale pure. Aucune vulnérabilité de Teams n’est exploitée ; c’est une fonction légitime, activée par défaut, qui est détournée.
- Évolution de l’infrastructure : 30 à 40 % des cas avec le domaine par défaut d’un locataire Microsoft 365 gratuit ; glissement récent vers des domaines payants, dont environ la moitié en .top, et vers des noms d’affichage reprenant le nom de l’entreprise visée.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Préparation | Locataire Microsoft 365 créé ou acquis, nom évoquant l’informatique ; domaines bon marché pour l’hébergement des charges et le serveur de commande | T1585.003 Establish Accounts: Cloud Accounts ; T1583.001 Acquire Infrastructure: Domains |
| Mise sous pression | Bombardement de la boîte mail par des centaines d’inscriptions en quelques minutes, dans une part importante des cas | T1667 Email Bombing |
| Premier contact | Discussion Teams individuelle depuis un locataire externe, nom d’affichage « support (interne) », prénom, parfois nom de la cible ; plusieurs salariés visés en environ cinq minutes | T1566.003 Spearphishing via Service ; T1656 Impersonation ; T1199 Trusted Relationship |
| Appel | Appel vocal Teams pour obtenir la coopération | T1566.004 Spearphishing Voice |
| Prise en main | Assistance rapide de Windows le plus souvent (code à six chiffres), sinon outils commerciaux de télémaintenance | T1219 Remote Access Software |
| Exécution | Victime guidée pour lancer une commande PowerShell qui récupère un installateur sur un stockage cloud légitime ; chaîne de déchiffrement puis implant Python ; pas de lien collé dans Teams | T1059.001 PowerShell ; T1204.002 User Execution: Malicious File ; T1105 Ingress Tool Transfer ; T1036 Masquerading |
| Reconnaissance | Requêtes LDAP sur tous les comptes et ordinateurs de l’annuaire, résultats envoyés au serveur de commande | T1087.002 Account Discovery: Domain Account ; T1018 Remote System Discovery |
| Accès aux identifiants | Détections de Kerberoasting concomitantes de l’alerte Teams dans plusieurs cas | T1558.003 Kerberoasting |
| Mouvement latéral et persistance | Progression vers les contrôleurs de domaine ; second outil de télémaintenance installé pour garder un accès indépendant | T1021 Remote Services ; T1219 Remote Access Software |
| Impact (une partie des cas) | Exfiltration puis rançongiciel ; modalités d’exfiltration non détaillées | T1486 Data Encrypted for Impact ; exfiltration non déterminable |
Faits techniques connus
Le vecteur repose sur la fédération Teams : tant que l’organisation autorise tous les domaines externes, n’importe quel locataire peut ouvrir une discussion individuelle avec un salarié. Le premier contact est journalisé dans Microsoft 365 comme un événement de création de discussion (« ChatCreated »), avant toute interaction de la victime. L’Assistance rapide est privilégiée parce qu’elle est intégrée à Windows, signée par Microsoft et ne demande aucune installation. Les attaquants contournent l’analyse des liens de Teams en naviguant eux-mêmes vers leurs charges pendant la session de prise en main. Selon les victimes, la chaîne atteint l’exécution d’une charge en moins de 15 minutes.
Ce qu’on ne sait pas
- La répartition des 400 incidents par secteur, pays et taille d’organisation.
- La proportion de cas ayant dépassé le stade de la discussion (prise en main, exécution, rançongiciel).
- L’attribution de l’ensemble des cas : Arctic Wolf décrit un schéma commun à plusieurs groupes, sans les rattacher tous à un acteur.
Détection : le premier message est le meilleur moment
Arctic Wolf place son principal point de détection à la création de la discussion externe, avant que la victime réponde. Les signaux utiles, d’après le rapport :
- discussion individuelle ouverte par un locataire externe inconnu, surtout avec un nom d’affichage évoquant le support ou contenant « interne » ;
- même locataire ou même domaine contactant plusieurs salariés, ou plusieurs organisations, en quelques minutes ;
- domaine expéditeur récemment créé, ou domaine par défaut d’un locataire gratuit ;
- bombardement de mails sur la même boîte juste avant ;
- lancement de l’Assistance rapide ou d’un outil de télémaintenance non approuvé, suivi de commandes de reconnaissance (comptes, groupes, réseau).
Limite importante : dans plusieurs cas, des alertes de vol d’identifiants se déclenchaient en même temps que l’alerte Teams. Sans corrélation automatique entre les journaux Teams, poste de travail et identité, le tri humain arrive souvent trop tard. Les mesures préventives proposées par Arctic Wolf, en s’appuyant sur la documentation Microsoft, sont donc prioritaires : passer de « tous les domaines externes » à une liste de domaines autorisés, bloquer les comptes non gérés et les locataires d’essai, restreindre l’Assistance rapide aux rôles informatiques, bloquer les outils de télémaintenance non approuvés, et activer le signalement des messages suspects par les utilisateurs dans Teams.
Questions d’audit ISO 27001:2022
- A.5.14 et A.8.20 (transfert de l’information, sécurité des réseaux) : « Qui a décidé du paramétrage de l’accès externe de Teams ? Est-il ouvert à tous les domaines ou limité à une liste de partenaires, et les locataires d’essai et comptes non gérés sont-ils bloqués ? Montrez-moi le paramétrage actuel et la trace de sa dernière revue. »
- A.8.18 et A.8.19 (utilisation de programmes utilitaires à privilèges, installation de logiciels sur les systèmes opérationnels) : « Quels outils de prise en main à distance sont autorisés, et pour quels rôles ? L’Assistance rapide est-elle restreinte ? Comment détectez-vous l’exécution d’un outil de télémaintenance non approuvé ? Montrez-moi la dernière alerte de ce type. »
- A.6.3 et A.5.24 (sensibilisation, planification de la gestion des incidents) : « Comment les salariés savent-ils par quel canal le support les contacte ? Existe-t-il une procédure de vérification hors canal (rappel sur numéro connu) avant toute prise en main ? Montrez-moi un support de sensibilisation ou un exercice récent couvrant ce scénario. »
- A.8.16 et A.5.25 (activités de surveillance, appréciation des événements de sécurité) : « Les événements de discussion externe, le bombardement de mails et le lancement d’outils de prise en main sont-ils collectés et corrélés ? Quel délai mesuré entre ce type d’alerte et l’isolement du poste ? »
Pistes de sensibilisation
- Pour tous les salariés : atelier « Le support ne vous contacte pas comme ça ». Mettre côte à côte un vrai message du support interne et une usurpation (mention « Externe », nom d’affichage, domaine réel), puis énoncer la règle de l’entreprise : canal officiel, rappel sur un numéro connu, jamais de code de prise en main lu à un interlocuteur qui nous a contactés. Support complémentaire : la fiche « Comment faire face à l’arnaque au faux support technique ? » de Cybermalveillance.gouv.fr, mise à jour le 23 octobre 2026.
- Pour l’équipe informatique et l’infogérant : exercice sur table « Boîte inondée, puis message Teams ». Dérouler la chaîne en 15 minutes et vérifier, étape par étape, ce qui aurait alerté ou bloqué : paramétrage de la fédération, restriction de l’Assistance rapide, liste des outils de télémaintenance autorisés, capacité d’isoler un poste.
À lire aussi : notre décryptage « Faux support informatique sur Teams : une discussion suffit pour prendre la main sur un poste » et notre bulletin de veille du 27 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.