Le scam du support informatique via Teams, nouvelle route de piratage des infrastructures
Les plateformes de collaboration professionnelle comme Microsoft Teams, conçues pour fluidifier la communication interne, deviennent des vecteurs d’attaques ciblées par des cybercriminels exploitant la confiance et l’autorité des services informatiques. Une campagne récente, baptisée Spring Ring, révèle une mutation stratégique des techniques de social engineering, où l’identité usurpée et la pression psychologique remplacent les méthodes traditionnelles de phishing pour infiltrer les infrastructures critiques des entreprises.
Comment les pirates exploitent-ils spécifiquement Microsoft Teams pour contourner les défenses des entreprises ?
Les attaquants se font passer pour le service informatique de l’entreprise en créant des discussions via des adresses e-mail proches du domaine officiel de Microsoft (ex. : ithelp@InternalSystemsDaily.onmicrosoft.com), puis lancent des appels vocaux pour inciter les victimes à exécuter des outils de gestion à distance ou des logiciels malveillants. L’attaque repose sur l’usurpation d’identité et la manipulation psychologique, exploitant la crédulité des employés face à une demande présentée comme légitime.
Quelles sont les deux méthodes principales utilisées par les cybercriminels dans la campagne Spring Ring ?
D’une part, les pirates poussent la victime à installer un logiciel de contrôle à distance (RMM) pour prendre le contrôle de l’ordinateur, puis déploient un cheval de Troie via PowerShell pour désactiver l’antivirus et exfiltrer des données. D’autre part, ils redirigent l’employé vers un faux cloud d’entreprise, où un exécutable malveillant (ex. : nomdelentreprise-org-filters-update-nomdelavictime.exe) s’installe en profondeur et tente de compromettre le contrôleur de domaine via des techniques comme PetitPotam.
Pourquoi Microsoft considère-t-il que ces attaques représentent un tournant stratégique en matière de cybersécurité ?
Microsoft souligne que ces campagnes ne reposent pas sur des failles techniques de la plateforme Teams, mais sur la capacité des attaquants à exploiter la confiance des utilisateurs dans les outils de collaboration légitimes. Elles illustrent une évolution vers des attaques où l’identité et la persuasion deviennent les principales armes, rendant les défenses traditionnelles (comme le filtrage des e-mails) moins efficaces.
Ce que ça pourrait changer
Cette tendance pourrait accélérer l’adoption de mesures de sécurité plus strictes, comme la limitation des accès aux outils de gestion à distance ou la généralisation des règles de réduction de la surface d’attaque (ASR), mais elle révèle aussi une vulnérabilité structurelle des écosystèmes numériques où la confiance dans les outils internes devient un point d’entrée privilégié pour les cybercriminels. Les entreprises devront repenser leur approche de la cybersécurité en intégrant davantage la dimension humaine et organisationnelle, au-delà des seules protections techniques.
