Veille menaces / Campagne
Faux support informatique sur Teams : bombardement d'e-mails, puis un message, puis une prise en main à distance en moins de 15 minutes
Arctic Wolf Labs fait état de plus de 400 incidents chez ses clients où les attaquants ont d'abord inondé la boîte mail d'un utilisateur d'inscriptions à des newsletters, puis l'ont contacté par la messagerie externe de Microsoft Teams depuis un tenant jetable, en se présentant comme « IT Support (Internal) ». L'utilisateur est amené à ouvrir un outil de prise en main à distance comme Quick Assist, AnyDesk ou ScreenConnect, et une charge malveillante peut suivre en moins de 15 minutes. Selon Arctic Wolf, aucune faille de Teams n'est utilisée : les attaquants s'appuient sur l'accès externe, activé par défaut.
- Secteur
- Tous secteurs
- Point d'entrée
- Hameçonnage, ingénierie sociale
- Produit ou fournisseur
- Microsoft Teams, Quick Assist, AnyDesk, ScreenConnect, TeamViewer
- Comment c'est arrivé
- De l'ingénierie sociale, pas une faille : un bombardement d'inscriptions à des newsletters, puis un message Teams externe depuis un tenant jetable (souvent un domaine onmicrosoft.com) avec un nom d'affichage comme « IT Support (Internal) », puis un appel qui amène l'utilisateur à lancer un outil de prise en main à distance. Selon Arctic Wolf, l'activité « n'exploite aucune vulnérabilité connue de Teams » et détourne l'accès externe, activé par défaut.[1][2] Vérifié le 11 nov. 2026
- Ce qui a été volé
- Pas encore public Vérifié le 11 nov. 2026
- Qui est touché
- Les salariés d'organisations qui laissent l'accès externe de Teams ouvert ; Arctic Wolf compte plus de 400 incidents chez ses propres clients. Il n'a pas nommé les victimes ni dit combien ont abouti à une compromission complète.[1][2] Vérifié le 11 nov. 2026
- Acteur
- Non attribué
Chronologie
- Arctic Wolf Labs publie son étude : plus de 400 incidents où la messagerie externe de Teams a servi d'accès initial après un bombardement d'e-mails, avec des outils de prise en main à distance comme Quick Assist, AnyDesk, ScreenConnect ou TeamViewer, et une charge malveillante en moins de 15 minutes. Il conseille de limiter l'accès externe à une liste de domaines de confiance et de bloquer les messages venant de tenants d'essai. [1]
- IT-Connect relaie la campagne en français, ainsi que le conseil d'Arctic Wolf de restreindre l'accès externe de Teams à une liste autorisée. [2]