Un rapport de Microsoft décrit deux incidents au cours desquels des attaquants ont utilisé des messages et des appels Microsoft Teams pour se faire passer pour des membres du personnel informatique ou du service d’assistance. Ils ont persuadé des employés d’accorder un accès à distance, principalement par l’intermédiaire de Quick Assist, puis ont pris le contrôle des postes de travail de l’entreprise.
Les attaquants ont guidé les utilisateurs pour qu’ils ouvrent Quick Assist et partagent un code de connexion. Une fois connectés, ils ont installé des logiciels à l’aide des environnements d’exécution Python, Bun ou Java, accédé à des réseaux et configuré l’authentification, selon le rapport. Ces incidents reposaient sur la confiance des employés envers des communications semblant provenir du personnel d’assistance de leur lieu de travail, et non sur des vulnérabilités de Teams lui-même.
Microsoft a indiqué à CNET qu’il mettait en place une détection du hameçonnage alimentée par l’IA, qui utilise le contexte des conversations pour repérer le hameçonnage et l’ingénierie sociale dans les situations à risque plus élevé, notamment lors des premiers échanges avec des utilisateurs externes. La feuille de route de l’entreprise prévoit également des options permettant de signaler les invitations suspectes de personnes invitées et de flouter les codes QR provenant d’expéditeurs externes.
Microsoft recommande aux utilisateurs de vérifier l’identité des expéditeurs externes et d’examiner les demandes avant d’y donner suite. Les administrateurs peuvent bloquer les utilisateurs externes de Teams et limiter les personnes de leur organisation qui sont autorisées à discuter ou à organiser des réunions avec des contacts extérieurs à l’entreprise.
Yu Cai, directeur associé de l’Institute of Computing and Cybersystems de Michigan Tech, a déclaré que l’ingénierie sociale menée par des humains demeure une menace majeure pour la cybersécurité. Il a ajouté que les outils d’IA, tels que le clonage de voix et les vidéos truquées par hypertrucage, peuvent rendre ces attaques plus convaincantes, même si les incidents liés à Teams ont montré qu’une approche apparemment simple peut suffire pour obtenir un accès.
Sources: CNET.