Votre boîte mail se remplit soudain de centaines d’inscriptions, puis un « IT Support (Internal) » vous propose son aide sur Teams. La société de sécurité Arctic Wolf a retrouvé ce scénario dans plus de 400 incidents. Aucune faille n’est en cause : l’attaquant utilise une fonction de Teams ouverte par défaut, et la confiance que nous accordons tous à notre service informatique.
Ce qui s’est passé
Le 26 octobre 2026, Arctic Wolf a publié l’analyse de plus de 400 incidents dans lesquels des attaquants ont contacté des salariés par la messagerie externe de Microsoft Teams (Arctic Wolf, 26 octobre 2026). Les victimes ne sont pas nommées. Le procédé n’est pas nouveau : Microsoft l’avait décrit dès 2024 avec le groupe de rançongiciel Black Basta. Ce qui frappe ici, c’est sa régularité, et sa vitesse.
Teams permet par défaut à n’importe quel utilisateur d’une autre organisation Microsoft 365 de discuter avec vos salariés. Il suffit à l’attaquant de créer, en quelques minutes, son propre compte Microsoft 365 avec un nom qui fait sérieux : « Help Desk », « IT Support (Internal) », parfois suivi d’un prénom ou même du nom de l’entreprise visée.
Comment l’attaque a fonctionné
Créer le problème. Dans de nombreux cas, la victime reçoit d’abord des centaines de mails d’inscription à des lettres d’information en quelques minutes. La boîte devient inutilisable, et les vraies alertes sont noyées.
Proposer la solution. Quelques minutes plus tard, le faux support écrit ou appelle sur Teams pour « régler le souci ». Teams affiche bien la mention « Externe », mais le nom choisi est fait pour qu’on ne la remarque pas.
Prendre la main. Le faux technicien demande d’ouvrir l’Assistance rapide de Windows, déjà présente sur le poste, ou un autre outil de prise en main à distance, et de lui lire un code. Il guide parfois la victime pour qu’elle lance elle-même une commande. Il évite de coller un lien dans la discussion, ce qui déclencherait les filtres de sécurité.
Aller vite. Selon les victimes, il s’écoule parfois moins de 15 minutes entre le premier message et le lancement d’un programme malveillant. Ensuite, l’attaquant explore le réseau, installe un second outil de télémaintenance pour revenir plus tard et, dans certains cas, vole des données puis déclenche un rançongiciel (The Hacker News, 26 octobre 2026).
Ce qu’on ne sait pas encore
- Les secteurs et les pays des organisations touchées, que le rapport ne détaille pas.
- La part des 400 incidents qui a abouti à un vol de données ou à un rançongiciel : le rapport parle de « certains cas ».
Ce que ça change pour une PME
- Fermez Teams aux inconnus. Demandez à votre informaticien ou à votre infogérant de limiter l’accès externe aux seules organisations avec qui vous travaillez, et de bloquer les comptes d’essai et les comptes personnels.
- Dites à vos équipes comment le vrai support les contacte. Par quel canal, avec quel nom. Un « support » externe qui écrit spontanément, surtout juste après une avalanche de mails, doit être considéré comme suspect.
- Pas de prise en main sans rappel. Toute demande de prise en main à distance se vérifie en rappelant le support à son numéro habituel. On ne lit jamais un code à quelqu’un qui nous a contactés.
- Réservez les outils de prise en main aux techniciens. L’Assistance rapide de Windows et les logiciels de télémaintenance peuvent être bloqués sur les postes qui n’en ont pas besoin. Pour en parler en équipe, la fiche « Comment faire face à l’arnaque au faux support technique ? » de Cybermalveillance.gouv.fr décrit la même mécanique côté particulier.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Qui peut aujourd’hui discuter avec nos salariés sur Teams depuis l’extérieur, et qui a décidé de ce réglage ?
- Avons-nous écrit quelque part, et dit à nos équipes, comment le support informatique les contacte, et comment vérifier que c’est bien lui ?
- Quels outils de prise en main à distance sont autorisés chez nous, pour qui, et serions-nous prévenus si quelqu’un en installait un autre ?
- Si un poste était pris en main par un inconnu, qui serait prévenu, et en combien de temps pourrions-nous l’isoler ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossier : Pièges tendus aux utilisateurs
Cet article prolonge notre bulletin de veille du 27 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.