D’après Arctic Wolf, des attaquants se servent en ce moment de Microsoft Teams pour se faire passer pour le help desk ou le service informatique d’une entreprise, puis obtenir un accès à distance au PC de leurs cibles.
Leur but est direct : amener un salarié à leur ouvrir sa machine à distance. Arctic Wolf, qui a passé en revue plus de 400 incidents, explique que cette méthode s’est imposée comme un point d’entrée redoutablement efficace.
Précision utile, toutefois : Arctic Wolf ne parle pas d’une faille de sécurité dans Microsoft Teams.
Les chercheurs décrivent plutôt une campagne d’ingénierie sociale qui tire parti des réglages par défaut de la plateforme, en particulier la possibilité de discuter par chat ou de rejoindre des réunions avec des domaines externes.
Faux support informatique sur Teams : comment l’attaque fonctionne
Le scénario relevé par Arctic Wolf revient souvent, avec peu de variations.
La victime reçoit d’abord une rafale d’e-mails de confirmation d’inscription à des newsletters ou à des services en ligne. C’est la technique du « bombardement d’e-mails », pensée pour provoquer du stress et semer la confusion. Peu après, un faux agent du support contacte l’employé sur Microsoft Teams, parfois par message, parfois par appel, en expliquant qu’il veut régler le problème.
La suite consiste à faire basculer la victime vers une session d’assistance à distance.
Dans la plupart des cas observés, les attaquants poussent à utiliser Quick Assist, l’outil intégré à Windows. Ils l’aiment pour une raison simple : il est déjà installé sur beaucoup de PC et il porte la signature Microsoft. Arctic Wolf cite aussi d’autres logiciels vus dans les incidents documentés : AnyDesk, ScreenConnect, TeamViewer, Atera, Zoho Assist, NetSupport, LogMeIn, ainsi que Level pour la persistance.
Pas de faille Teams, mais un abus des réglages par défaut
Les cybercriminels travaillent aussi leur mise en scène.
Arctic Wolf explique qu’ils montent des tenants Microsoft 365 jetables et qu’ils utilisent de plus en plus de vrais noms de domaine payants pour avoir l’air crédibles. Un détail ressort : environ 30 à 40 % des cas étudiés reposaient encore sur des adresses en onmicrosoft.com. Mais dans les campagnes récentes, les attaquants préfèrent davantage des domaines à thème informatique, surtout en .top et en .com, avec des noms d’affichage du type « Help Desk » ou « IT Support (Internal) ».
Une fois l’accès obtenu, tout peut aller très vite.
Toujours d’après Arctic Wolf, les intrus sont alors en mesure de lancer des commandes PowerShell, d’installer des malwares, d’interroger Active Directory, d’exfiltrer des données, de se déplacer latéralement dans le réseau, puis de déployer un rançongiciel. Les retours clients cités par les chercheurs donnent une idée du rythme : l’exécution de code peut commencer en moins de 15 minutes, et certaines intrusions auraient mené à un chiffrement en moins de 17 heures.
Des liens avec GoGRPC et le rançongiciel Chaos
D’autres acteurs de la cybersécurité ont rapproché ce mode opératoire de campagnes bien concrètes.
Zscaler a documenté des attaques qui combinaient le vishing sur Microsoft Teams et Quick Assist pour déployer la porte dérobée GoGRPC. Sophos, de son côté, suit une campagne proche sous le nom STAC4749. Selon l’entreprise, elle aurait visé des dizaines d’organisations en Amérique du Nord, surtout aux États-Unis et au Canada, entre février et juin 2026. Sophos ajoute qu’au moins trois intrusions se seraient soldées par le déploiement du rançongiciel Chaos.
Comment se protéger
Les recommandations vont dans le même sens : restreindre l’accès externe à Microsoft Teams aux seuls domaines de confiance, limiter l’usage des outils d’assistance à distance aux équipes IT autorisées, et apprendre aux salariés à traiter un message de support non sollicité sur Teams avec la même méfiance qu’un e-mail de phishing.
Concrètement, si un « technicien » vous contacte sans prévenir pour prendre la main sur votre PC, mieux vaut partir du principe que c’est suspect jusqu’à preuve du contraire. La prudence reste la bonne réaction.
