Faux soutien TI sur Teams : la boîte inondée, puis l’appel « IT Support »
Le matin, la boîte de courriel d’une employée se remplit de centaines de messages d’abonnement. Peu après, un message Teams arrive : « IT Support (Internal) » propose de régler le problème. Elle accepte un partage d’écran. Moins de 15 minutes après, un logiciel malveillant roule sur son poste.
C’est le scénario décrit le 26 octobre par Arctic Wolf, qui a analysé plus de 400 incidents de ce type. Ce faux soutien TI ne vise pas seulement les grandes entreprises : il vise n’importe quelle organisation qui utilise Microsoft Teams avec les réglages par défaut.
Pourquoi l’arnaque fonctionne
Aucune faille de Teams n’est en cause. Les attaquants utilisent une fonction normale : l’accès externe, qui permet à n’importe quelle organisation Microsoft 365 d’écrire à vos employés. Selon Arctic Wolf, cette fonction est activée par défaut.
- De 30 à 40 % des cas utilisaient un compte Microsoft 365 gratuit en *.onmicrosoft.com, créé en quelques minutes.
- Parmi les domaines achetés, environ la moitié se terminaient en .top.
- Les noms affichés imitent le soutien interne : « IT Support (Internal) », un prénom sympathique, une version française comme « Supporte TI », des émojis et, plus récemment, le nom de l’entreprise visée.
La technique n’est pas nouvelle : Microsoft l’avait documentée dès 2024 avec le groupe lié au rançongiciel Black Basta. Elle est simplement devenue une routine.
Le déroulement rapporté par Arctic Wolf
T+0
La boîte est inondée de centaines de courriels d’abonnement.
Quelques minutes
Un « IT Support » externe écrit ou appelle sur Teams pour « régler les pourriels ».
Ensuite
Il demande un partage d’écran, souvent le code à six chiffres de l’Assistance rapide.
Moins de 15 min
Un logiciel malveillant est lancé sur le poste.
Arctic Wolf note aussi que les attaquants contactent souvent plusieurs employés de la même entreprise en environ cinq minutes.
Comment reconnaître le faux soutien TI
Voici à quoi ressemble la conversation. Chaque numéro correspond à un signal qu’un employé peut apprendre à voir.
Les signaux d’alarme (exemple fictif)
- 1Le badge Externe : le message vient d’une autre organisation, même si le nom affiché dit « Interne ».
- 2Il connaît votre problème de pourriels. Normal : c’est lui qui l’a causé.
- 3Il demande un code d’accès à distance dans une conversation que vous n’avez pas lancée.
- 4Aucun lien à cliquer : selon Arctic Wolf, les attaquants évitent ainsi les filtres de liens et ouvrent eux-mêmes la page piégée une fois connectés.
Une fois la connexion obtenue, Arctic Wolf a vu l’Assistance rapide de Windows le plus souvent, puis des outils comme AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport ou LogMeIn installés pour garder l’accès. Dans un cas, une commande PowerShell a téléchargé un fichier d’installation qui a ensuite dressé la liste des utilisateurs et des ordinateurs du réseau pour l’envoyer à l’attaquant. Notre arbre de décision sur les logiciels d’accès à distance détournés aide à faire le ménage dans ces outils.
Les réglages Teams à changer
Ces changements sont rapides pour votre responsable TI ou votre fournisseur, et ils ferment la porte la plus utilisée.
Ce que chaque employé doit savoir
Dites clairement à votre équipe comment le vrai soutien TI la contacte : par quel canal, avec quel nom, à quel numéro. Ensuite, une seule règle suffit : on rappelle soi-même. Teams offre aussi un bouton pour signaler un message suspect ; montrez-le.
La règle du rappel, à afficher près de chaque poste
🗣️ Ce qu’on dit
« Merci, je vous rappelle au numéro du service TI que je connais. »
« Je dois d’abord confirmer avec notre responsable TI. »
⛔ Ce qu’on ne fait jamais
- Donner un code d’Assistance rapide à quelqu’un qu’on n’a pas appelé soi-même.
- Installer un logiciel suggéré dans un clavardage.
- Accepter un partage d’écran demandé par un inconnu.
- Croire un nom affiché : seul le badge Externe compte.
🚨 Quelqu’un a déjà accepté? Dans l’ordre :
- Débrancher le poste du réseau (câble et Wi-Fi), sans l’éteindre.
- Appeler votre vrai responsable TI ou votre fournisseur.
- Changer le mot de passe à partir d’un autre appareil et fermer toutes les sessions ouvertes : notre article sur le vol de session Microsoft 365 explique pourquoi le mot de passe ne suffit pas.
- Chercher les logiciels d’accès à distance installés récemment.
- Signaler la conversation dans Teams et noter le nom affiché et le domaine de l’expéditeur.
Cette arnaque fait partie d’une famille d’attaques qui misent sur la confiance plutôt que sur une faille, comme l’hameçonnage par code d’appareil Microsoft 365. Nos services de cybersécurité révisent les réglages de Teams et de Microsoft 365 et forment vos employés, et notre surveillance automatisée 24/7 avec intervention du technicien de garde signale l’installation d’outils d’accès à distance et les connexions inhabituelles sur les postes surveillés.
Réservez votre Bilan cyber gratuit
Votre Teams accepte-t-il les messages de n’importe quelle organisation? Le Bilan cyber gratuit vérifie vos réglages d’accès externe, les outils d’accès à distance installés et ce que vos employés savent de ces arnaques.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Arctic Wolf, Shubham Dubey, « Threat Actors Abuse Microsoft Teams External Chat for Initial Access » (26 octobre 2026) (en anglais)
- Help Net Security (27 octobre 2026) (en anglais)
- Dark Reading, « Email bombing and external Teams chats » (en anglais)
Photo : Mikhail Nilov, Pexels (licence Pexels).