:quality(90):no_upscale()){kind=logo}
Quatre campagnes montrent que les canaux de communication sont désormais un vecteur d'accès initial
STATUT : Modèle d'ingénierie sociale actif NIVEAU DE GRAVITÉ : 6/10 PUBLIC CIBLE : Responsables de la sécurité au sein des administrations publiques, du secteur de la défense et des infrastructures critiques
6 novembre 2026
·Blog
·Communications sécurisées
:quality(90):no_upscale())
Depuis le mois d'août, des pirates se faisant passer pour des services d'assistance informatique ou des contacts de confiance ont utilisé des appels téléphoniques, des messageries d'entreprise, des applications de messagerie grand public et une invite de connexion d'appareil pour contacter directement les employés. Dans chaque campagne, l'accès initial reposait sur la persuasion. Le point commun était l'existence d'un canal permettant à un tiers d'engager la conversation.
Que s'est-il passé ?
Dans ces quatre campagnes, l'attaquant a pu entrer en contact avec une personne par le biais d'un canal utilisé par l'organisation et auquel celle-ci fait confiance.
En septembre, Arctic Wolf a révélé l’existence d’une campagne, qu’elle a baptisée PREY-0058, dans le cadre de laquelle des pirates se faisant passer pour des membres du service d’assistance informatique interne appellent des directeurs, des vice-présidents et d’autres cadres, puis les redirigent vers une fausse page de connexion à Microsoft 365 qui permet de récupérer les jetons de session. Aucun logiciel malveillant n’est déployé ; les pirates extraient simplement des données de SharePoint, OneDrive et Exchange à des fins d’extorsion.1
En octobre, Arctic Wolf a signalé un schéma récurrent observé dans des centaines de cas : les attaquants ouvrent des discussions externes sur Microsoft Teams à partir de locataires jetables utilisant des noms tels que « Support informatique (interne) », souvent après avoir inondé la boîte de réception de la victime pour créer un sentiment d’urgence. Ils persuadent la victime de leur accorder un accès à distance via des outils de gestion à distance légitimes et, dans certains cas, l’intrusion a atteint les contrôleurs de domaine et s’est soldée par un vol de données et une attaque par ransomware. Arctic Wolf en conclut que ce vecteur fonctionne parce qu’il exploite la confiance, et non une faille logicielle.2
Toujours en septembre, le FBI, le NCSC britannique et l'AIVD néerlandais ont chacun averti que des acteurs soutenus par des États se faisaient passer pour des contacts de confiance d'une cible au sein d'applications de messagerie populaires, prenaient le temps d'établir une relation de confiance, puis envoyaient un fichier malveillant déguisé en élément anodin.3 En août, un compte-rendu d’une présentation interne de l’UE sur la cybersécurité a fait état de prises de contrôle de comptes impliquant des hauts fonctionnaires sur WhatsApp et Signal par un gouvernement étranger, avec huit incidents majeurs cette année et, parmi les violations confirmées, le compte d’un président de parlement national en exercice. Les attaquants ont persuadé leurs cibles de leur transmettre un code permettant de lier un deuxième appareil au compte.4
Dans les quatre cas, les attaquants se sont fait passer pour une personne telle qu’un technicien du service d’assistance informatique ou un contact connu ayant une raison légitime de prendre contact via un canal acceptant les communications provenant de l’extérieur. Les formations visant à apprendre au personnel à repérer les expéditeurs inconnus s’avèrent peu efficaces, et l’analyse des liens ainsi que la détection au niveau des terminaux n’ont guère d’éléments à examiner lorsque l’attaquant incite la victime à effectuer elle-même le travail.
Ce qu'ils ont découvert et ce que cela signifie
Conclusion | Ce que cela signifie | Conséquence opérationnelle | Question ouverte |
Depuis le mois d'août, quatre campagnes distinctes ont permis de contacter le personnel par le biais d'appels téléphoniques, d'une messagerie d'entreprise, d'applications de messagerie grand public et d'une invite de connexion d'appareils. | Les pirates choisissent le canal qui leur permet d'accéder directement à une personne, et ce canal varie d'une campagne à l'autre. | Les mesures de sécurité qui se concentrent sur un seul canal, comme le courrier électronique, laissent les autres vulnérables. | Combien d'organisations disposent d'une règle écrite précisant qui est autorisé à contacter le personnel via chaque canal de communication et comment le personnel peut-il vérifier cette information ? |
Dans tous les cas, l'attaquant s'est fait passer pour un membre du service informatique ou pour une personne de confiance. | L'attaque repose sur la crédibilité ; par conséquent, les mises en garde concernant les expéditeurs inconnus et la vérification des liens n'ont guère d'effet. | Le personnel n'est pas en mesure de distinguer de manière fiable une véritable demande informatique d'une fausse lorsque les deux parviennent par le même canal. | L'organisation met-elle à la disposition de son personnel un moyen distinct et validé de vérifier qu'une demande provient bien du service informatique ou du service de sécurité ? |
Arctic Wolf a constaté que les campagnes Teams ciblent des organisations dont l'accès externe est activé et que les attaquants évitent de coller des liens afin que l'analyse Safe Links n'ait rien à examiner. | L'analyse au niveau de la plateforme ne permet pas de détecter une attaque menée par une personne dans un chat en direct ou lors d'une session à distance. | La détection doit s'appuyer sur l'activité des terminaux et des identités après le contact, tandis que la prévention consiste à limiter les personnes autorisées à entrer en contact avec le personnel. | Les organisations ont-elles vérifié les paramètres relatifs aux services de messagerie instantanée externes et à la fédération depuis le lancement de ces campagnes ? |
Pourquoi est-ce important ?
Vieille Assomption | Réalité actuelle | Réponse de BlackBerry |
Une formation à la sensibilisation à la sécurité, qui apprend au personnel à se méfier des expéditeurs inconnus, permet de se prémunir contre l'ingénierie sociale. | Dans ces campagnes, le message semble provenir du service d'assistance informatique ou d'un contact connu ; il n'y a donc aucun expéditeur inconnu susceptible d'éveiller les soupçons. | BlackBerry® SecuSUITE® L'inscription est gérée par l'organisation, ce qui permet une coordination rigoureuse au sein d'un canal où les contacts sont connus et gérés, plutôt que d'être ouverts à des tiers. |
Si une demande semble provenir du service informatique, les collaborateurs peuvent demander à ce dernier de la confirmer via le même canal. | L'attaquant contrôle la conversation et, dans le cas de Teams, la fausse identité informatique apparaît dans la même fenêtre de discussion que celle où apparaîtrait une identité authentique. | BlackBerry® AtHoc® permet aux services informatiques et de sécurité d'envoyer des notifications authentiques au personnel via un canal distinct, afin que chaque collaborateur puisse vérifier si une demande est bien réelle. |
Les mesures de protection de la plateforme, telles que l'analyse des liens et les alertes concernant les utilisateurs externes, permettent de détecter les tentatives d'ingénierie sociale menées au sein même de la plateforme. | Les pirates utilisent des noms d'affichage qui contournent les alertes destinées aux utilisateurs externes et transfèrent l'activité vers une session à distance active, de sorte que la plateforme ne détecte aucune activité malveillante à bloquer. | Où BlackBerry®UEM gère le terminal, il peut restreindre l'utilisation de logiciels d'accès à distance non autorisés, ce qui réduit l'étape au cours de laquelle ces attaques prennent le contrôle du système. |
Mesures recommandées
IMMÉDIAT | Vérifiez les paramètres d'accès externe et de fédération de Microsoft Teams et limitez, dans la mesure du possible, les discussions externes aux domaines spécifiés et approuvés. |
IMMÉDIAT | Publiez une brève note à l'intention du personnel expliquant comment le service informatique et le service de sécurité les contacteront ou non. Précisez que le service informatique ne demande jamais d'accès à distance par le biais d'un message instantané ou d'un appel non sollicité, et indiquez au personnel comment vérifier la légitimité des demandes. |
À COURT TERME | Limitez et surveillez l'utilisation des outils de gestion à distance sur les terminaux, car les campagnes Teams reposent sur l'utilisation par le personnel d'outils tels que Quick Assist, AnyDesk et ScreenConnect. |
À COURT TERME | Offrez aux cadres et aux administrateurs un canal sécurisé pour les notifications informatiques et de sécurité, distinct des e-mails et des messageries instantanées. |
EN COURS | Suivez les campagnes d'ingénierie sociale par canal et par technique, afin de combler toute faille dans un canal avant que les attaquants ne s'en emparent. |
Poste chez BlackBerry
Les campagnes menées via une ligne téléphonique, un service de messagerie d’entreprise, des applications de messagerie grand public et une invite de connexion d’appareils avaient toutes un point commun : un intrus a réussi à entamer une conversation avec un membre du personnel et en a tiré parti. Les contrôles techniques d’une plateforme ne servent pas à grand-chose lorsque l’attaque prend la forme d’une conversation. Le contrôle le plus important consiste à déterminer qui est autorisé à entamer cette conversation. Les organisations peuvent réduire la faille sur laquelle reposent ces campagnes en effectuant les coordinations sensibles via des canaux où les inscriptions et les contacts sont gérés, et en offrant au personnel un moyen distinct de vérifier l’authenticité des demandes informatiques et de sécurité.
Références :
1. De faux appels informatiques ciblent les dirigeants dans le cadre d’attaques de vol de données et d’extorsion sur Microsoft 365. (Arctic Wolf, étude sur la menace PREY-0058, telle que rapportée par The Hacker News, le 7 septembre 2026).
2. Des pirates utilisent des escroqueries au support informatique via Microsoft Teams pour déployer des logiciels malveillants et des ransomwares. (Arctic Wolf Labs, étude sur les acteurs malveillants exploitant la messagerie externe de Microsoft Teams pour obtenir un accès initial, telle que rapportée par The Hacker News, le 26 octobre 2026).
3. Ciberesquivage iranien visant des dissidents, des militants et des journalistes. (Centre national de cybersécurité du Royaume-Uni, Bureau fédéral d’enquête des États-Unis et Service général de renseignement et de sécurité des Pays-Bas, avis conjoint sur la cybersécurité, 15 septembre 2026).
4. Des pirates informatiques soutenus par des États ont pris pour cible des responsables de l’UE sur WhatsApp, selon un document. (Politico, conclusions d’une présentation interne de l’UE sur la cybersécurité, telles que rapportées par TheNextWeb en août 2026, et Dark Reading, compte rendu des avertissements des agences nationales concernant les campagnes menées sur Signal et WhatsApp, le 25 août 2026).
:quality(90):no_upscale())