Faux support informatique sur Teams : la parade en 7 réglages

Le 30 octobre 2026, Microsoft Threat Intelligence a publié l’analyse de deux attaques menées « à la main » contre des entreprises. Le point de départ est le même : un faux technicien contacte des salariés sur Teams et les convainc de lui ouvrir leur écran. On vous résume ce qui s’est passé, puis on passe aux sept réglages qu’une TPE peut appliquer cette semaine, sans budget supplémentaire pour la plupart.

01Ce que Microsoft a observé

1. Étape 1 · Le contact

   Un message puis un appel Teams arrivent d’un tenant externe dont le nom imite l’organisation ou un service d’assistance (du type …onmicrosoft.com). Le nom affiché parle de « support » ou de « help desk ».

2. Étape 2 · La prise en main

   Le faux technicien guide la personne pour ouvrir Quick Assist (Assistance rapide, intégré à Windows) et lui dicter le code de connexion. Il a alors le clavier et la souris.

3. Étape 3 · L’installation discrète

   Une archive est déposée dans Téléchargements, puis extraite dans un dossier au nom anodin commençant par « KB », comme une mise à jour Windows. Des outils portables (Python, Bun, Java) y lancent les scripts de l’attaquant, sans pièce jointe piégée ni antivirus contourné au sens classique.

4. Étape 4 · Les clés du domaine

   L’attaquant cherche un service de certificats Active Directory mal configuré (AD CS). Dans le premier cas, il obtient des certificats au nom de comptes à privilèges et copie la base des mots de passe du domaine (DCSync). Dans le second, il se fait délivrer un certificat au nom d’un contrôleur de domaine.

5. Étape 5 · La sortie des données

   Dans le premier cas, des fichiers d’un serveur de partage sont copiés vers un serveur externe avec Rclone, renommé SearchApp.exe pour passer inaperçu.

Deux détails méritent l’attention d’une petite structure. D’abord, l’attaquant a recommencé : environ 90 minutes après une première vague visant trois personnes, une seconde en a visé seize. Ensuite, la protection automatique de Microsoft Defender a bloqué une grande partie de l’attaque (plus de 1 000 tentatives d’accès aux partages bloquées), mais un compte à privilèges exclu des protections automatiques est resté utilisable, et c’est lui qui a servi à voler les données. Dans le second cas, l’entreprise a isolé le poste dès les alertes et l’attaque s’est arrêtée là.

02Pourquoi une TPE est autant concernée qu’un grand groupe

On pourrait croire que ce scénario vise les grandes entreprises dotées d’un service informatique interne. C’est l’inverse. Dans une TPE, le support est souvent un prestataire externe que personne n’a jamais vu, joignable par téléphone ou… par Teams. Un message « Bonjour, c’est le support, on a détecté un problème sur votre messagerie » n’a rien de choquant. Et sur un poste Windows récent, Quick Assist est déjà installé, prêt à servir.

• Ce qui joue contre vousSupport externalisé, peu de procédures écrites, Teams ouvert par défaut à toutes les organisations extérieures.
• Ce qui joue pour vousPeu d’utilisateurs, donc une règle simple se diffuse en une réunion. Et les réglages se font en une heure.

03Les 7 réglages, du plus simple au plus technique

1. Écrire la règle d’or (10 minutes, gratuit)

Microsoft recommande de faire vérifier toute demande d’assistance non sollicitée par un canal interne connu avant d’accepter un appel, un partage d’écran ou une prise de main. Traduction pour une TPE : une phrase affichée et envoyée à tous.

2. Apprendre à lire les avertissements de Teams

Dans les cas étudiés, Teams affichait la mention « Externe » et, pour l’appel, un avertissement « Scam suspected » (arnaque suspectée ; le libellé exact dépend de la langue de l’interface). Microsoft encourage à y prêter attention. Montrez une capture à vos équipes : un « support » marqué Externe qui n’est pas votre prestataire, c’est un signal d’arrêt. Face à un premier message d’un inconnu, Teams propose d’accepter ou de bloquer : bloquer est une réponse parfaitement acceptable.

3. Fermer Teams aux organisations inconnues

Par défaut, beaucoup de tenants Microsoft 365 acceptent les messages de n’importe quelle organisation Teams. Microsoft conseille de limiter les domaines externes aux besoins réels. Le chemin est simple :

1. Centre d’administration Teams → Utilisateurs → Accès externe.
2. Pour les organisations externes, choisir Autoriser uniquement des domaines externes spécifiques et ajouter ceux de vos clients, partenaires et de votre prestataire.
3. Désactiver (ou au minimum empêcher d’initier) les échanges avec les comptes Teams non gérés (Teams gratuit, comptes personnels).

4. Retirer Quick Assist si vous ne vous en servez pas

Si votre prestataire utilise un autre outil (Intune Remote Help, ou un logiciel de télémaintenance de son choix), Microsoft recommande de désactiver ou désinstaller Quick Assist. Deux options documentées :

• Désinstallation, en PowerShell administrateur : Get-AppxPackage -Name MicrosoftCorporationII.QuickAssist | Remove-AppxPackage -AllUsers, ou via Paramètres → Applications → Applications installées.
• Blocage réseau de l’adresse remoteassistance.support.services.microsoft.com. Attention : Remote Help utilise le même point de terminaison et serait coupé lui aussi.

Plus largement, Microsoft conseille de n’autoriser qu’un seul outil de prise en main, utilisé par des intervenants identifiés. Si trois logiciels de télémaintenance traînent sur vos postes, demandez à votre prestataire de n’en garder qu’un.

5. Ne laisser aucun compte « exclu »

C’est la leçon la moins visible et la plus coûteuse du premier cas : un seul compte privilégié tenu à l’écart des protections automatiques a suffi à faire sortir les données. Dans une TPE, l’équivalent courant est le compte administrateur « historique » exclu de l’authentification multifacteur ou de l’accès conditionnel « pour que ça marche ». Faites la liste des exclusions dans Entra et dans Defender, et pour chacune, demandez qui l’a décidée et pourquoi elle existe encore.

6. Empêcher les programmes de tourner depuis les dossiers utilisateur

L’attaque repose sur des outils portables lancés depuis un dossier du profil utilisateur. Microsoft recommande un contrôle des applications (App Control for Business ou équivalent) pour bloquer les exécutables non approuvés dans ces emplacements, et de tester les règles de réduction de la surface d’attaque de Defender. Si vos postes sont gérés avec Intune (inclus dans Microsoft 365 Business Premium), c’est un chantier à confier à votre prestataire, en mode audit d’abord pour ne rien casser.

7. Si vous avez encore un serveur Active Directory : faire auditer AD CS

Beaucoup de TPE 100 % cloud n’ont pas de serveur Active Directory ; ce point ne les concerne pas. Pour les autres, surtout si un service de certificats a été installé un jour « pour le Wi-Fi » ou « pour le VPN », demandez trois choses à votre prestataire :

• vérifier qu’aucun modèle de certificat ne permet au demandeur de choisir l’identité (ESC1) ;
• protéger ou retirer l’inscription web AD CS contre le relais NTLM (ESC8), comme décrit dans l’article Microsoft KB5005413 ;
• activer l’audit des services de certificats, pour savoir qui a demandé quoi.

04Si quelqu’un a déjà accepté la prise en main

Pavillon Noir — La cyber, sans le charabia.