« Bonjour, ici le support informatique. » Vraiment?

Mercredi, 10 h. La boîte courriel de Julie, à l'administration, se remplit d'un coup : des centaines d'infolettres, de confirmations d'inscription, de messages en anglais. Elle ne s'y retrouve plus. Vingt minutes plus tard, un message apparaît dans Teams : « Bonjour Julie, ici le support informatique. Nous avons détecté une attaque de pourriels sur votre compte. Je peux régler ça tout de suite si vous m'ouvrez une session à distance. »

Julie est soulagée. Elle accepte. Et elle vient de donner les clés de son ordinateur à un fraudeur.

Le scénario en trois temps

Cette attaque ne repose sur aucune faille technique. Elle exploite un réflexe tout à fait normal : faire confiance à quelqu'un qui vient nous aider.

1. Créer le problème. Le fraudeur inscrit l'adresse de l'employé à des centaines de listes d'envoi. En quelques minutes, sa boîte déborde. Il est débordé, irrité, et il ne peut plus travailler.
2. Offrir la solution. Le faux technicien écrit ou appelle sur Teams, depuis un compte externe nommé « Support TI » ou « Help Desk ». Il arrive au moment parfait, celui où l'employé se demandait justement qui appeler.
3. Prendre le contrôle. Il demande d'ouvrir une session d'assistance à distance, souvent avec Assistance rapide (Quick Assist), un outil légitime déjà installé dans Windows. Une fois sur le poste, il installe ses outils et cherche à s'étendre au reste du réseau.

Le fait que votre entreprise fasse affaire avec un fournisseur TI externe n'aide pas : l'employé a déjà l'habitude de parler à un support qu'il ne connaît pas personnellement.

Pas une théorie : une méthode qui fait ses preuves

En janvier 2025, la firme de sécurité Sophos rapportait plus de 15 incidents de ce type en trois mois, dont la moitié dans les deux dernières semaines. Dans un cas, l'attaque s'est terminée par un rançongiciel.

La méthode a continué de se répandre. De février à juin 2026, un groupe criminel a visé des entreprises américaines et canadiennes de la construction, de l'ingénierie, de la fabrication et des services en se faisant passer pour leur soutien informatique sur Teams. Dans au moins trois cas, un rançongiciel a été déployé; dans l'un d'eux, 17 heures seulement ont séparé le premier contact du chiffrement des données.

Dix-sept heures : moins d'une journée de travail entre un message Teams anodin et une entreprise paralysée.

Comment reconnaître votre vrai support TI

La meilleure défense est une règle claire, connue de toute l'équipe : c'est vous qui appelez le support, pas l'inverse.

• Votre support ne vous contacte pas de lui-même pour prendre le contrôle de votre poste. S'il le fait, il a une raison précise : un billet que vous avez ouvert, un rendez-vous prévu.
• Regardez d'où vient le message. Dans Teams, un compte externe porte la mention « Externe » ou le nom d'une autre organisation. Un « Help Desk » externe est un signal d'alarme.
• Raccrochez et rappelez. En cas de doute, fermez la conversation et contactez votre support au numéro ou à l'adresse que vous connaissez déjà.
• Une boîte qui déborde soudainement est un avertissement. Si une vague de pourriels arrive d'un coup, signalez-la vous-même à vos TI et méfiez-vous de tout « sauveur » qui se présente dans l'heure qui suit.

Les réglages qui ferment la porte

La formation est essentielle, mais quelques réglages empêchent l'attaque même si un employé se laisse convaincre. Sophos recommande notamment :

• Limiter qui peut vous écrire sur Teams. Par défaut, des organisations externes peuvent contacter vos employés. On peut restreindre cet accès aux seuls partenaires connus.
• Contrôler les outils d'accès à distance. Seuls les outils utilisés par votre vrai support devraient fonctionner. Assistance rapide peut être désactivée s'il ne sert pas.
• Surveiller les comportements inhabituels. Une vague soudaine de courriels, suivie d'un appel Teams externe, puis d'une session à distance : cette séquence se détecte.

Enfin, établissez un code de confiance avec votre fournisseur TI : un numéro de billet, un nom de technicien attitré ou une phrase convenue. Un fraudeur ne peut pas le deviner.

Le mot de la fin

Le faux technicien ne force aucune porte : on la lui ouvre, en toute bonne foi, parce qu'il arrive au bon moment avec la bonne solution. La parade tient en une phrase : on ne donne jamais accès à son poste à quelqu'un qu'on n'a pas soi-même appelé.

Votre Teams accepte-t-il les messages de n'importe quelle organisation externe? Parlez à un expert MMO Techno.