Dans Teams, le faux support peut ouvrir la porte du réseau

Un faux technicien dans l'outil de travail habituel

L'attaque décrite par Microsoft Threat Intelligence commence dans Microsoft Teams, via un compte externe qui se présente comme le service informatique ou le helpdesk. Le contact peut prendre la forme d'une conversation, d'un appel vocal, ou des deux. Les prétextes observés parlent de mise à jour de sécurité, de vérification de compte, de filtre antispam ou de risque de désactivation.

Le point important est que les chercheurs ne décrivent pas une faille de Teams. L'attaquant exploite les fonctions normales de collaboration et de prise en main à distance, en comptant sur l'urgence et sur l'autorité supposée du support. Microsoft précise que l'utilisateur est amené à ignorer les avertissements affichés pour les contacts externes et à autoriser lui-même la session distante.

Du chat Teams au contrôle de l'ordinateur

Dans les cas observés, le faux support demande à la personne ciblée d'accepter une demande de contrôle d'écran dans Teams, ou d'ouvrir Quick Assist et de communiquer un code de connexion. Une fois la session accordée, l'attaquant dispose d'un accès interactif au poste, sous les yeux de la victime mais avec sa permission apparente.

Unit 42 a baptisé « Spring Ring » une opération observée entre janvier et avril 2026. Son enquête fait état de plus de 150 employés approchés dans au moins dix entreprises. Les attaquants utilisaient des comptes externes en .onmicrosoft.com avec des noms évoquant l'assistance, l'infrastructure ou la sécurité. Le nom rassurant ne prouve donc pas que le compte appartient à l'organisation.

Une assistance détournée qui peut devenir une intrusion

L'accès distant n'est pas la fin du scénario. Microsoft indique avoir vu des opérateurs télécharger, avec PowerShell, un installateur MSI malveillant puis installer un environnement Node.js et un implant JavaScript persistant. Les attaquants ont ensuite effectué de la reconnaissance sur le poste et sur Active Directory, notamment pour identifier comptes, serveurs et protections installées.

Microsoft rapporte aussi des déplacements internes avec WinRM vers des actifs de grande valeur, dont des contrôleurs de domaine et des autorités de certification. Unit 42 décrit une autre branche de la campagne où un exécutable au nom adapté à l'entreprise cible était téléchargé depuis un faux espace cloud. Cette branche tentait ensuite de sonder le réseau et de forcer une authentification NTLM vers le contrôleur de domaine.

Pourquoi l'appel vocal change la donne

Un courriel suspect laisse souvent du temps pour examiner un lien ou le signaler. Un appel vocal, lui, permet à l'escroc d'adapter immédiatement son discours, de relancer plusieurs fois et de guider chaque clic. Unit 42 relève que les appels réussis duraient souvent entre dix et quinze minutes. Microsoft souligne aussi que les consignes malveillantes données oralement peuvent ne jamais apparaître dans l'historique de discussion.

C'est cette combinaison qui rend le scénario dangereux : une application connue, une identité qui ressemble à un service interne, un interlocuteur qui parle avec assurance et une procédure de téléassistance tout à fait légitime en temps normal. L'attaque vise la décision humaine, pas seulement la machine.

Le réflexe à installer dans l'entreprise

Un contact de support non sollicité dans Teams doit être considéré comme suspect, surtout s'il provient d'un locataire externe, réclame un code Quick Assist, une prise de contrôle ou l'exécution d'une commande. Ne donnez pas le contrôle de votre écran et ne suivez pas les instructions reçues pendant cet appel. Vérifiez la demande en contactant le support par le canal interne connu : portail, numéro figurant dans l'annuaire ou interlocuteur habituel.

Pour les administrateurs, Microsoft recommande de limiter l'accès Teams externe aux domaines de confiance, de rendre visibles les indicateurs d'expéditeur externe, d'encadrer les outils de téléassistance autorisés et de surveiller leur usage. L'éditeur recommande aussi de limiter WinRM aux postes d'administration prévus à cet effet et d'activer des règles de réduction de surface d'attaque contre l'exécution de contenus téléchargés et de scripts.

Ce que nous ne pouvons pas vérifier

Les sources ouvertes documentent les techniques et les campagnes analysées, mais elles ne publient pas l'identité complète des entreprises visées ni le nombre total de victimes effectivement compromises. Elles ne permettent pas non plus d'affirmer que chaque appel de faux support dans Teams relève de la même opération.

Les conséquences les plus graves évoquées par Microsoft, comme le vol de données ou le déploiement d'un rançongiciel, sont présentées comme des objectifs possibles après l'intrusion. Les sources lient les activités observées à une progression vers des actifs sensibles, sans confirmer publiquement qu'une telle étape a abouti dans chaque organisation ciblée.

Sources : Microsoft Threat Intelligence ↗ · Unit 42 ↗ · Next ↗

Article rédigé et vérifié par Cyberfaille, avec assistance IA. Un doute, une correction ? écrivez-nous.