Ce que ça change pour une PME
- Les attaquants créent de faux comptes externes sur Teams, se font passer pour le support IT, et convainquent l'employé de lancer une session Quick Assist ou un outil RMM.
- Un incident observé par Sophos est passé du premier contact au chiffrement complet des fichiers en moins de 17 heures.
- La faille n'est pas technique : c'est l'accès aux communications externes sur Teams, activé par défaut sur la plupart des tenants Microsoft 365.
- Restreindre ou désactiver les chats et appels externes sur Teams, et rappeler aux équipes qu'aucun support IT légitime ne contacte par appel Teams non sollicité, sont les deux mesures qui coupent court à cette méthode.
Sophos a publié le 29 juillet le détail d'une campagne baptisée STAC4749, suivie entre février et juin 2026, qui utilise Microsoft Teams comme point d'entrée avant de déployer le rançongiciel Chaos. BleepingComputer a repris l'analyse le lendemain. La méthode ne repose sur aucune faille logicielle : elle détourne des fonctions que Teams propose par défaut à toute entreprise équipée de Microsoft 365.
Un faux appel de support, puis une prise de main à distance
Les attaquants créent des comptes externes sous des identités plausibles (Sophos cite les noms Anthony Brooks et Dylan Harper), associés à des noms de domaine qui imitent des services de sécurité, comme sequrityupdate[.]top ou system-connect[.]top. Ils contactent ensuite des employés par chat ou par appel vocal en se faisant passer pour le support informatique. Les appels durent le plus souvent entre deux et deux minutes et demie, parfois plus de vingt minutes.
L'objectif de l'appel est de convaincre l'employé de lancer une session d'assistance à distance. Au début de la campagne, les attaquants privilégiaient Quick Assist, l'outil d'assistance à distance intégré à Windows. À partir d'avril, Sophos observe un basculement vers RemSupp, un outil de gestion à distance (RMM) moins souvent bloqué par les filtres de sécurité que Quick Assist. Une fois la connexion établie, ils activent le Bureau à distance (RDP) via msconfig, ou installent des outils comme DWAgent et AnyDesk pour garder un accès de secours si la première voie est coupée.
Depuis cet accès, les attaquants livrent une porte dérobée par PowerShell. Dans plusieurs intrusions documentées par Sophos, cet accès a servi ensuite au déploiement du rançongiciel Chaos. Dans l'un des cas observés, le délai entre le premier contact sur Teams et le chiffrement complet des fichiers a été inférieur à 17 heures.
Qui est visé
Sophos situe la campagne à 50 % au Canada et 44 % aux États-Unis, avec une proportion marginale ailleurs. Les secteurs les plus touchés sont les services (20 %), l'industrie manufacturière (17 %), l'énergie et la construction-ingénierie (12 % chacun). Sophos relève que les cabinets d'avocats visés étaient tous spécialisés en propriété intellectuelle.
La campagne n'a, à ce stade, pas été documentée en France. Cela ne veut pas dire qu'une PME française est protégée : rien dans la méthode ne dépend du pays de la victime, seulement de la configuration de Teams et de la vigilance de l'employé qui décroche.
Ce qu'il faut vérifier aujourd'hui
La faille exploitée ici n'est pas un bug à corriger, c'est un réglage à revoir. Par défaut, un tenant Microsoft 365 autorise les employés à recevoir des chats et des appels de comptes externes (pratique pour échanger avec des clients ou des prestataires), mais c'est exactement cette porte que la campagne utilise.
- Dans le centre d'administration, sous Utilisateurs externes, vérifiez si l'accès externe est ouvert à tous les domaines ou restreint à une liste. Le restreindre à vos partenaires connus élimine l'essentiel du risque, sans bloquer les usages internes.
- Rappelez aux équipes une règle simple : le support informatique, qu'il soit interne ou chez un prestataire, ne contacte jamais par appel Teams non sollicité pour demander l'installation d'un outil d'assistance à distance. Toute demande de ce type doit être vérifiée par un autre canal avant d'être suivie.
- Si votre parc utilise Quick Assist ou un outil RMM, vérifiez auprès de votre prestataire quels outils sont autorisés à s'installer sur les postes, et si une alerte se déclenche quand un outil non reconnu (DWAgent, AnyDesk non approuvé) apparaît.
- Si un employé a suivi ce type d'instructions récemment, même sans conséquence visible, faites vérifier le poste : la porte dérobée décrite par Sophos ne se signale pas forcément par un ralentissement ou une alerte antivirus.