REX Cyber · Cas documenté dans une source publique. Synthèse et relecture éditoriale.
Un message reçu dans Teams n’émane pas forcément d’un collègue. Arctic Wolf documente un schéma récurrent d’usurpation du support informatique, où une identité externe cherche à gagner la confiance d’un salarié avant l’installation d’un outil ou la remise d’un fichier.
Déroulement décrit par la source
- Arctic Wolf analyse plus de 400 incidents d’ingénierie sociale utilisant les conversations externes de Microsoft Teams pour l’accès initial.
- Les attaquants emploient des noms de support informatique et des mentions comme « Internal » pour atténuer l’avertissement associé aux utilisateurs externes.
- L’étude décrit l’abus d’une fonctionnalité de fédération légitime, et non l’exploitation d’une vulnérabilité connue de Teams.
Comprendre les mécanismes et les enseignements
- Un nom d’affichage est une déclaration contrôlée par son auteur, pas une preuve d’appartenance. Les salariés doivent pouvoir reconnaître les canaux de support autorisés et vérifier une demande sans poursuivre la conversation qui l’a introduite.
- La collaboration externe constitue une surface d’accès à gouverner. Sa configuration doit suivre les besoins réels de partenaires, avec une visibilité sur les créations de conversations et les tentatives répétées contre plusieurs employés.
Les vérifications défensives utiles
- Revoir les paramètres de fédération et les domaines partenaires avec les équipes métier. Tester les échanges nécessaires après toute modification et documenter les exceptions ; limiter les ouvertures générales lorsque des relations précises suffisent au fonctionnement de l’organisation.
- Créer une procédure simple de vérification du support par un canal connu. Former les équipes à signaler un contact inattendu, surtout après une avalanche de messages électroniques ; rappeler qu’une installation d’outil distant doit suivre le circuit interne approuvé.
- Collecter les événements de création de conversations et les rapprocher des alertes de messagerie et de poste. En cas d’engagement avec le faux support, préserver les échanges, examiner les outils installés et révoquer les sessions exposées depuis une administration saine.
Portée et limites
Les centaines d’incidents constituent le corpus observé par Arctic Wolf, sans représenter une mesure exhaustive de Teams. Le scénario peut précéder une intrusion sans l’aboutir. Une identité externe ou un outil de téléassistance approuvé ne suffit pas, seul, à démontrer une activité malveillante.
Rapport original
Beyond the Inbox: How Threat Actors Abuse Microsoft Teams External Chat for Initial Access — arcticwolf.com.