Direct Send : la fonctionnalité Microsoft 365 qui permet d'usurper vos e-mails internes
Un e-mail qui semble venir du service RH ou de la comptabilité peut n'être qu'un leurre parfaitement imité, sans qu'aucun mot de passe n'ait été volé. La fonctionnalité Direct Send de Microsoft 365, révélée par l'éditeur en cybersécurité KnowBe4, permet à des attaquants d'envoyer de faux courriels internes en exploitant un mécanisme légitime de la messagerie professionnelle. Voici ce que cela change concrètement pour les TPE/PME.
Sommaire8 sections
- Qu'est-ce que Direct Send, cette fonctionnalité méconnue de Microsoft 365 ?
- Comment les cybercriminels détournent cette fonctionnalité pour usurper vos collègues
- Pourquoi les filtres anti-spam ne bloquent pas toujours ces messages
- Quel impact pour les TPE/PME du Lot-et-Garonne ?
- Comment savoir si mon entreprise est exposée à Direct Send ?
- Que faire concrètement pour se protéger ?
- Une vigilance qui reste avant tout humaine
- Questions fréquentes
- Sources
Imaginons une PME du bâtiment installée à Bon-Encontre, une quinzaine de salariés, une messagerie Microsoft 365 configurée par un prestataire il y a plusieurs années. Un lundi matin, la comptable reçoit un e-mail signé « Direction », lui demandant de valider en urgence un virement fournisseur. L'adresse affichée est bien celle de son dirigeant, le message arrive dans la boîte habituelle, sans alerte visible. Ce scénario, de plus en plus documenté par les chercheurs en sécurité, illustre exactement ce que permet la faille Direct Send : usurper un expéditeur interne sans jamais compromettre le moindre compte.
Qu'est-ce que Direct Send, cette fonctionnalité méconnue de Microsoft 365 ?
Direct Send est une fonction légitime, pensée à l'origine pour des usages techniques précis : permettre à des imprimantes multifonctions, des logiciels de gestion ou des applications métier d'envoyer des e-mails via Microsoft 365 sans avoir besoin d'un compte utilisateur ni d'authentification classique. Concrètement, ces appareils envoient leurs messages directement vers un serveur relais de Microsoft, appelé smart host, dont l'adresse ressemble à votre-tenant.mail.protection.outlook.com.
Le problème, c'est que ce canal ne vérifie pas systématiquement qui envoie réellement le message. Si un attaquant connaît le nom de domaine de messagerie d'une entreprise, il peut, dans certaines configurations, adresser ses messages directement à ce smart host en se faisant passer pour n'importe quelle adresse interne, y compris celle de la direction ou des RH.
Comment les cybercriminels détournent cette fonctionnalité pour usurper vos collègues
Selon les analyses relayées par la presse spécialisée, dont Clubic et Le Monde Informatique, des chercheurs de KnowBe4 ont observé des campagnes exploitant Direct Send à grande échelle pour usurper des adresses internes, sans jamais avoir besoin de voler un mot de passe. L'attaque ne passe pas par un piratage de compte : elle exploite une mauvaise configuration ou une absence de restriction sur ce canal d'envoi.
C'est ce qui rend le procédé particulièrement efficace : le message arrive avec une adresse d'expéditeur parfaitement légitime en apparence, et non une adresse approximative facile à repérer comme dans le hameçonnage classique.
Pourquoi les filtres anti-spam ne bloquent pas toujours ces messages
Les protections e-mail modernes s'appuient sur trois mécanismes techniques : SPF (Sender Policy Framework, qui vérifie que le serveur émetteur est autorisé pour le domaine), DKIM (une signature cryptographique qui garantit que le message n'a pas été modifié) et DMARC (qui définit la politique à appliquer si SPF ou DKIM échouent). Ces trois contrôles constituent la base de l'authentification des e-mails recommandée par Microsoft dans ses politiques anti-hameçonnage.
Le souci avec Direct Send, c'est que le message transite par l'infrastructure Microsoft elle-même, via le smart host du tenant visé. Pour certains filtres, l'origine paraît donc technique et interne, ce qui peut affaiblir la pertinence des contrôles SPF et DMARC classiques, même si le contenu est frauduleux.
Quel impact pour les TPE/PME du Lot-et-Garonne ?
Les petites structures sont particulièrement exposées, pour une raison simple : elles utilisent souvent Microsoft 365 avec la configuration proposée par défaut, sans audit régulier des règles de flux de messagerie. Un artisan, un cabinet comptable ou une petite agence immobilière n'a en général ni service informatique dédié, ni supervision continue des paramètres de sécurité de son tenant.
Les conséquences concrètes d'une usurpation réussie via ce canal peuvent être lourdes :
- Un virement frauduleux exécuté sur ordre d'un faux e-mail « de la direction »
- Le vol d'identifiants via un lien renvoyant vers une fausse page de connexion
- Une perte de confiance des salariés envers les communications internes légitimes
- Un incident à déclarer si des données personnelles sont exposées, avec les obligations qui en découlent
Un artisan ou une petite entreprise sans expertise interne aura du mal à distinguer une configuration Microsoft 365 saine d'une configuration exposée : c'est précisément le genre de vérification qu'un accompagnement en infogérance permet de sécuriser dans la durée.
Comment savoir si mon entreprise est exposée à Direct Send ?
Il n'existe pas de test instantané universel, mais quelques signaux doivent alerter un dirigeant ou son prestataire informatique.
- Vérifier si des appareils (imprimantes, logiciels métier) utilisent réellement Direct Send pour envoyer des e-mails, et lesquels
- Contrôler la politique DMARC du domaine de messagerie, en particulier son mode d'application (surveillance simple ou rejet des messages non conformes)
- Demander à son prestataire ou à son service informatique un point sur les paramètres de flux de courrier entrant dans le centre d'administration Microsoft 365
- Sensibiliser les équipes qui traitent des paiements ou des données sensibles à ce type de scénario précis
Que faire concrètement pour se protéger ?
La bonne nouvelle, c'est que des mesures existent et ne nécessitent pas de tout reconstruire. Microsoft documente des politiques anti-hameçonnage avancées dans Defender pour Office 365, incluant une protection contre l'usurpation d'identité interne, détaillées sur sa documentation officielle.
| Mesure | Ce qu'elle apporte | Pour qui |
|---|---|---|
| Renforcer la politique DMARC | Réduit le risque d'acceptation de messages usurpant le domaine | Toute organisation utilisant Microsoft 365 |
| Restreindre ou désactiver Direct Send si inutilisé | Ferme le canal d'envoi exploité par les attaquants | PME sans appareils dépendant de cette fonction |
| Activer les protections anti-usurpation de Defender for Office 365 | Détecte les tentatives d'usurpation d'expéditeurs internes | Entreprises disposant des licences adaptées |
| Former les équipes à la vigilance sur les demandes urgentes | Limite l'impact humain même si un message passe les filtres | Toutes les tailles d'entreprise |
Concrètement, un examen ponctuel des paramètres de messagerie, réalisé par un professionnel, permet souvent de repérer une exposition avant qu'un incident ne survienne. C'est le type d'intervention qu'un dépannage ou audit informatique local peut couvrir, en particulier pour des structures sans administrateur système dédié.
Une vigilance qui reste avant tout humaine
Aucune protection technique ne remplace le réflexe de vérifier une demande inhabituelle, surtout si elle concerne un virement ou des identifiants. Un appel téléphonique rapide au « signataire » supposé du message reste souvent le moyen le plus simple de couper court à une tentative d'usurpation, quelle que soit la technique employée derrière.
À noter : les configurations et options de sécurité proposées par Microsoft évoluent régulièrement. Les réglages exacts à vérifier ou à activer doivent être confirmés sur la documentation officielle de Microsoft, qui reste la référence à jour sur le sujet.
Pour des questions générales sur la sécurisation d'un environnement Microsoft 365 ou d'un poste de travail en entreprise, la page questions fréquentes du site détaille qui fait quoi entre un utilisateur, son prestataire et l'éditeur du logiciel.
Questions fréquentes
Direct Send signifie-t-il que mon compte Microsoft 365 a été piraté ?
Non, c'est justement ce qui rend cette technique dangereuse : elle n'exige aucun compte compromis. L'attaquant exploite un canal d'envoi légitime du tenant Microsoft 365, sans authentification, pour faire passer un message comme s'il venait de l'intérieur de l'entreprise.
Comment reconnaître un e-mail usurpé via ce type de faille ?
L'adresse d'expéditeur peut paraître parfaitement légitime, contrairement au phishing classique. Le signal d'alerte doit porter sur le contenu : urgence inhabituelle, demande de virement, de mot de passe ou de pièce jointe inattendue, ton différent de celui habituellement utilisé par la personne citée.
Faut-il désactiver Direct Send dans toutes les entreprises ?
Cela dépend de l'usage réel de la messagerie : certaines imprimantes ou logiciels métier s'appuient sur cette fonction pour envoyer des notifications. Un diagnostic préalable, avant toute désactivation, évite d'interrompre un service utilisé au quotidien.
Quelles obligations si un tel incident touche des données personnelles ?
Si l'usurpation entraîne une fuite de données personnelles, l'entreprise peut avoir des obligations de notification. Les modalités précises évoluent et doivent être vérifiées auprès de la CNIL, autorité compétente en la matière.
Un particulier est-il concerné par Direct Send ?
Cette fonctionnalité concerne les organisations utilisant Microsoft 365 en tant que domaine professionnel. Un particulier n'est pas directement exposé à Direct Send, mais peut recevoir un e-mail usurpé provenant d'une entreprise dont le domaine a été mal configuré.
