Les cybercriminels ont trouvé un nouveau moyen de contourner les filtres d’e-mails et les bloqueurs de spam : ils appellent directement les employés via Microsoft Teams. Une récente campagne liée au ransomware Chaos montre des attaquants utilisant l’hameçonnage vocal, ou « vishing », dans Teams pour inciter les employés à donner l’accès au réseau, aboutissant finalement au déploiement du ransomware sur les systèmes de l’entreprise.

Ce n’est pas une simple histoire de phishing par e-mail. C’est le signe que les attaquants ciblent délibérément les plateformes de collaboration auxquelles des millions d’employés font aujourd’hui confiance par défaut, ce qui oblige à repenser la manière dont les organisations forment leur personnel à détecter l’ingénierie sociale.

Comment fonctionne l’attaque de vishing sur Microsoft Teams

Contrairement au phishing traditionnel, qui repose sur un lien ou une pièce jointe malveillant restant dans une boîte de réception, ce style d’attaque utilise un contact vocal en direct. Les attaquants contactent les employés via Microsoft Teams, se faisant souvent passer pour le support informatique interne ou un fournisseur de confiance, et utilisent l’appel pour instaurer un sentiment d’urgence et de crédibilité. Comme l’interaction se déroule à l’intérieur d’une plateforme que les employés utilisent déjà quotidiennement pour des demandes légitimes, la barrière psychologique qui rend normalement les gens méfiants face aux e-mails non sollicités n’existe tout simplement pas.

Une fois la confiance établie, l’objectif de l’attaquant est simple : amener la cible à effectuer une action qui accorde un accès à distance, qu’il s’agisse d’approuver une demande de connexion, d’installer un outil d’accès à distance ou de partager des identifiants sous couvert d’un ticket de support. À partir de là, l’attaquant dispose d’un point d’ancrage dans le réseau de l’entreprise, ce qui ouvre la voie au déploiement du ransomware.

Cette approche reflète une tendance plus large où les attaquants exploitent les environnements Microsoft 365 plutôt que d’attaquer directement les vulnérabilités logicielles. Elle fait écho aux tactiques observées dans la campagne Storm-2949 ciblant la réinitialisation de mot de passe Microsoft 365, où les acteurs de la menace ont manipulé des flux de travail cloud de confiance au lieu de s’appuyer uniquement sur des logiciels malveillants pour compromettre les organisations.

Pourquoi l’hameçonnage vocal contourne la formation traditionnelle à la sécurité

La plupart des programmes de sensibilisation à la sécurité en entreprise sont centrés sur l’e-mail : ne cliquez pas sur des liens inconnus, vérifiez l’adresse de l’expéditeur, passez la souris avant de faire confiance. L’hameçonnage vocal contourne presque toute cette formation, car il n’y a pas d’e-mail à examiner, pas de domaine manifestement usurpé, et pas de message statique qu’un employé peut tranquillement transférer à l’équipe de sécurité pour analyse.

Un appel téléphonique ou Teams en direct introduit également une pression sociale que l’e-mail n’a pas. Une voix calme et professionnelle se présentant comme le support informatique, surtout si elle fait référence à une terminologie interne réelle ou à des événements récents de l’entreprise, peut pousser un employé à se conformer rapidement avant qu’il ait eu le temps de réfléchir de manière critique. Cette combinaison de plateforme de confiance, de pression en temps réel et de préparation limitée des employés est précisément la raison pour laquelle le vishing est devenu un point d’entrée attrayant pour les opérateurs de ransomware.

Ce que fait le ransomware Chaos une fois à l’intérieur d’un réseau

Une fois que les attaquants ont utilisé l’appel de vishing pour obtenir un accès, l’étape suivante consiste à déployer le ransomware Chaos. Comme d’autres familles de ransomware, Chaos est conçu pour se déplacer dans un réseau compromis, chiffrer les fichiers et les systèmes, et retenir ces données en otage jusqu’au paiement d’une rançon. Les dégâts ne se limitent pas à une seule machine ; les opérateurs de ransomware tentent généralement de se propager aussi largement que possible au sein d’un réseau avant de déclencher le chiffrement, maximisant ainsi la pression sur l’organisation victime pour qu’elle paie.

Ce qui rend cette campagne remarquable, c’est la méthode de diffusion plutôt que le ransomware lui-même. En obtenant un accès d’apparence légitime via un canal de communication de confiance, les attaquants peuvent potentiellement contourner plusieurs couches de défenses techniques qui signaleraient normalement des téléchargements suspects ou des tentatives de connexion inhabituelles.

Défenses pour les travailleurs à distance et hybrides : MFA, VPN et vérification vocale

Pour les organisations ayant des équipes réparties ou hybrides, ce type d’attaque rappelle que la vérification d’identité doit s’étendre au-delà des e-mails et des écrans de connexion. Quelques mesures pratiques peuvent réduire sensiblement les risques :

  • Exiger l’authentification multifacteur (MFA) pour tous les accès à distance et les systèmes sensibles, et former les employés à ne jamais approuver une demande MFA qu’ils n’ont pas personnellement initiée.
  • Établir une politique claire à l’échelle de l’entreprise pour la vérification des demandes de support informatique, par exemple exiger des employés qu’ils rappellent un numéro interne connu plutôt que de faire confiance à un appel ou un message Teams entrant.
  • Utiliser un VPN associé à des contrôles d’accès stricts afin que, même si des identifiants sont compromis, le déplacement latéral sur le réseau soit plus difficile à réaliser.
  • Étendre la formation de sensibilisation à l’hameçonnage pour couvrir l’ingénierie sociale vocale et par chat, et pas seulement l’e-mail.

Ce que cela signifie pour vous

Si vous travaillez en mode hybride ou à distance et utilisez régulièrement Microsoft Teams, traitez les appels ou messages inattendus du « support informatique » avec le même scepticisme que vous appliqueriez à un e-mail suspect. Les services informatiques légitimes contactent rarement les utilisateurs à froid via des plateformes de chat pour demander d’installer un logiciel ou d’approuver immédiatement des demandes d’accès. En cas de doute, raccrochez, vérifiez via un canal officiel et signalez l’interaction à votre équipe de sécurité sans attendre.

Points clés à retenir

La montée des attaques de ransomware par vishing sur Microsoft Teams montre que les cybercriminels s’adaptent plus vite que de nombreux programmes de formation en entreprise. Alors que les outils de collaboration deviennent la nouvelle ligne de front de l’ingénierie sociale, les organisations doivent actualiser leurs défenses en conséquence : renforcer les politiques MFA, formaliser les procédures de vérification informatique et s’assurer que les employés comprennent que la confiance dans une plateforme ne signifie pas la confiance en chaque personne qui l’utilise. Rester vigilant face aux demandes vocales et par chat non sollicitées, aussi convaincantes soient-elles, reste l’un des moyens les plus simples et les plus efficaces pour stopper une attaque de ransomware avant qu’elle ne commence.