Contexte et ampleur du phénomène
Le média Wired indique que, depuis le début de 2023, plus de 2 000 comptes Microsoft Teams ont été repérés comme liés à des escroqueries ciblant des résidents et expatriés chinois. Les fraudeurs utilisent la version gratuite du service, qui ne requiert aucune vérification d’identité, pour créer des espaces de réunion et envoyer des invitations par courriel. Le volume de messages suspects a atteint plus de 30 000 échanges quotidiens, selon les données partagées par les autorités locales.
Fonctionnement technique exploité
Teams repose sur Azure Active Directory pour l’authentification et chiffre les flux audio‑vidéo avec TLS 1.2 en transit et AES‑256 au repos. Les escrocs contournent ces protections en se faisant passer pour des collègues ou des partenaires grâce à la fonction d’invitation directe par adresse e‑mail. L’absence de validation du domaine expéditeur permet d’envoyer des liens de réunion qui, lorsqu’ils sont ouverts, redirigent les victimes vers des pages de phishing hébergées sur des serveurs tiers. Le protocole SIP utilisé pour la signalisation ne bloque pas les requêtes provenant d’adresses non vérifiées, ce qui facilite la création massive de réunions factices.
Analyse des risques et des limites de la plateforme
Le modèle « cloud‑first » de Teams offre une disponibilité élevée, mais il rend également la plateforme attractive pour les acteurs malveillants qui profitent de l’infrastructure mondiale de Microsoft pour masquer leur localisation. La politique de rétention des enregistrements de réunion, qui conserve les métadonnées pendant 30 jours, fournit aux enquêteurs des traces, mais la suppression rapide des comptes par les fraudeurs réduit la capacité d’analyse post‑incident. De plus, la fonction de partage d’écran sans contrôle d’accès supplémentaire expose les victimes à l’injection de logiciels malveillants.
Réactions de Microsoft et mesures d’atténuation
Microsoft a annoncé le déploiement d’une vérification d’identité renforcée pour les comptes créés depuis la Chine, incluant la validation du numéro de téléphone et la mise en place d’un seuil de création d’invitations par jour. La société a également introduit une détection automatisée des modèles de création de réunions qui bloque les comptes générant plus de 100 invitations en moins de 24 heures. Malgré ces actions, le rapport souligne que la transparence des statistiques de blocage reste limitée, ce qui complique l’évaluation de l’efficacité des contre‑mesures.
