Spring Ring : l'attaque par faux support technique qui pirate Microsoft Teams

Qu'est-ce que la campagne Spring Ring et comment cible-t-elle Microsoft Teams ?

La campagne de cyberattaques Spring Ring représente une évolution majeure dans l'art de l'ingénierie sociale. Découverte par les chercheurs en sécurité de l'unité Unit 42 de Palo Alto Networks, cette menace se distingue par son utilisation habile de la plateforme collaborative Microsoft Teams. Contrairement aux attaques classiques qui s'appuient sur des courriels frauduleux, Spring Ring utilise des techniques de vishing, c'est-à-dire du phishing vocal, directement au sein de l'application de messagerie professionnelle.

Les attaquants exploitent une fonctionnalité légitime de Microsoft Teams : la possibilité de communiquer avec des utilisateurs externes à l'organisation, appelée accès externe ou fédération. En créant des comptes Microsoft 365 usurpant l'identité de services de support technique ou de sécurité, les pirates contactent directement les collaborateurs des entreprises ciblées. Cette approche directe leur permet de contourner les filtres anti-spam traditionnels qui protègent habituellement les boîtes de réception des messageries électroniques.

Selon les rapports des experts en cybersécurité, plus de 150 employés répartis dans au moins 10 organisations ont déjà été visés par cette campagne hautement coordonnée. L'objectif ultime des cybercriminels est d'obtenir des accès privilégiés aux infrastructures internes des entreprises, notamment en ciblant les contrôleurs de domaine Active Directory. Une fois ces serveurs maîtres compromis, les attaquants disposent d'un contrôle total sur le réseau informatique de l'organisation victime.

Le scénario d'une attaque pas à pas : de l'appel Teams à la prise de contrôle

Phase 1 : L'approche par messagerie externe (Cross-Tenant)

La première étape de l'attaque repose sur la création d'un locataire (tenant) Microsoft 365 malveillant par les pirates. Ils enregistrent des noms de domaine qui imitent de manière très convaincante des services d'assistance technique, des éditeurs de logiciels de sécurité ou des départements informatiques internes. Grâce à la configuration par défaut de Teams, qui autorise les communications inter-locataires, les attaquants envoient un premier message textuel à la victime pour préparer le terrain.

Ce message initial utilise souvent un prétexte urgent, comme la détection d'une anomalie de sécurité sur le poste de travail de l'utilisateur ou la nécessité d'effectuer une mise à jour critique de l'authentification multifacteur (MFA). L'utilisation de l'interface familière de Microsoft Teams réduit immédiatement la méfiance de la victime, qui associe généralement cette plateforme à un espace de travail interne hautement sécurisé.

Phase 2 : Le coup de fil vocal (Vishing) du faux technicien

Immédiatement après l'envoi du message textuel, l'attaquant lance un appel vocal Teams direct vers l'utilisateur. Cette technique de vishing s'avère particulièrement redoutable. Au téléphone, le pirate adopte un ton professionnel, calme et directif, se faisant passer pour un technicien du support informatique. La voix humaine renforce considérablement la crédibilité de la démarche et permet de manipuler psychologiquement la victime en direct.

Le faux technicien guide ensuite l'utilisateur pas à pas. Il peut lui demander de valider une notification de connexion sur son application d'authentification (phénomène de harcèlement MFA ou MFA fatigue) ou de se rendre sur un portail web frauduleux. Dans d'autres cas, le pirate convainc la victime d'installer un outil de prise en main à distance légitime, mais détourné de son usage, tel que ScreenConnect, AnyDesk ou NetSupport Manager.

Phase 3 : L'exécution du malware et l'accès au contrôleur de domaine

Une fois l'outil de prise en main à distance installé ou les identifiants dérobés, les attaquants obtiennent un premier point d'ancrage sur le poste de travail de la victime. Ils déploient alors des scripts malveillants et des outils de reconnaissance pour analyser le réseau interne de l'entreprise. Cette phase d'élévation de privilèges vise à identifier les serveurs clés, en particulier le contrôleur de domaine qui gère l'ensemble des comptes et des droits d'accès.

En accédant au contrôleur de domaine, les cybercriminels peuvent créer de nouveaux comptes administrateurs persistants, désactiver les logiciels de sécurité et préparer le déploiement d'un rançongiciel (ransomware) ou l'exfiltration de données sensibles. L'attaque, qui a débuté par un simple coup de fil sur Teams, se transforme ainsi en une compromission totale du système d'information de l'entreprise.

Pourquoi les outils collaboratifs comme Teams sont-ils devenus la cible prioritaire des pirates ?

Depuis la généralisation du travail hybride, les plateformes comme Microsoft Teams, Zoom ou Slack sont devenues le cœur battant de la communication en entreprise. Cependant, cette adoption rapide s'est souvent faite au détriment d'une configuration de sécurité rigoureuse. Les pirates l'ont bien compris et déplacent leurs efforts de l'email traditionnel vers ces espaces collaboratifs où la vigilance des utilisateurs est naturellement plus basse.

Il existe un véritable biais de confiance envers les applications de messagerie instantanée d'entreprise. Un utilisateur qui se méfiera d'un email provenant d'une adresse externe aura tendance à faire aveuglément confiance à un message ou un appel reçu directement sur son application Teams. Ce sentiment de sécurité est renforcé par le fait que Teams est perçu comme un outil interne, alors même que ses fonctionnalités de fédération permettent à n'importe quel utilisateur externe de vous contacter par défaut.

De plus, les solutions de sécurité traditionnelles, telles que les passerelles de messagerie sécurisées (SEG), n'analysent pas les flux de communication internes ou inter-locataires de Teams. Cela crée une zone d'ombre majeure pour les administrateurs informatiques, qui ne disposent pas toujours de la visibilité nécessaire pour détecter ces interactions suspectes en temps réel.

Quels sont les risques réels pour les TPE et PME du Lot-et-Garonne ?

Les petites et moyennes entreprises de notre département, qu'elles soient basées à Agen, Villeneuve-sur-Lot, Boé, Le Passage ou Marmande, ne sont pas épargnées par ces menaces globales. Souvent, les TPE et PME utilisent des abonnements Microsoft 365 configurés à la va-vite, sans avoir jamais audité les paramètres d'accès externe. Elles représentent donc des cibles particulièrement faciles pour des campagnes de type Spring Ring.

Pour une PME locale, les conséquences d'une telle intrusion peuvent être dévastatrices. La perte d'accès aux données clients, le blocage de la facturation par un ransomware ou le vol de secrets industriels peuvent mettre en péril la survie même de l'entreprise. De plus, les exigences réglementaires, notamment le RGPD et les directives de sécurité de l'ANSSI, imposent aux dirigeants de mettre en œuvre des mesures de protection adaptées sous peine de sanctions ou de perte de confiance de leurs partenaires commerciaux.

Il est donc crucial pour les dirigeants locaux de comprendre que la cybersécurité ne se limite pas à l'installation d'un simple antivirus sur les postes de travail. La sécurisation des configurations cloud, notamment de l'environnement Microsoft 365, est devenue un pilier indispensable de la résilience informatique.

Tableau comparatif : Phishing traditionnel vs Attaque Spring Ring

Le tableau ci-dessous permet de visualiser les différences fondamentales entre une attaque de phishing classique par courrier électronique et la méthode hybride employée par la campagne Spring Ring sur Microsoft Teams.

Comment sécuriser votre tenant Microsoft Teams contre ces attaques ?

1. Restreindre les communications externes (External Access)

La mesure de protection la plus efficace consiste à revoir la configuration de l'accès externe dans le centre d'administration Microsoft Teams. Par défaut, Teams autorise vos utilisateurs à communiquer avec n'importe quel utilisateur externe de Teams ou de Skype. Il est fortement recommandé de modifier ce paramètre pour adopter une politique plus restrictive.

Vous pouvez choisir de bloquer complètement l'accès externe si votre activité ne nécessite pas de communiquer avec des partenaires extérieurs via Teams. Si ces communications sont nécessaires, configurez une liste d'autorisation (allowlist) pour limiter les échanges aux seuls domaines de confiance de vos clients et partenaires identifiés. Cette action simple bloque instantanément les tentatives d'approche des locataires malveillants créés par les pirates.

2. Configurer les paramètres d'accès inter-locataires dans Microsoft Entra ID

Pour aller plus loin dans la sécurisation, les administrateurs doivent configurer les paramètres d'accès inter-locataires (Cross-Tenant Access Settings) dans Microsoft Entra ID (anciennement Azure AD). Ces paramètres permettent de définir précisément quelles organisations externes peuvent collaborer avec vos utilisateurs et sous quelles conditions de sécurité.

Il est notamment possible d'exiger que les utilisateurs externes qui accèdent à vos ressources respectent vos propres règles d'authentification multifacteur (MFA) ou proviennent d'appareils gérés et conformes. Cela limite drastiquement la capacité d'un attaquant externe à utiliser un compte compromis pour s'infiltrer dans votre environnement de travail.

3. Renforcer l'authentification multifacteur (MFA)

L'authentification multifacteur classique par SMS ou par notification simple sur application mobile montre ses limites face aux attaques de vishing et de MFA fatigue. Les attaquants de la campagne Spring Ring excellent dans l'art de convaincre les utilisateurs de valider des invites de connexion suspectes.

Pour contrer cette menace, il convient de migrer vers des méthodes d'authentification résistantes au phishing. L'utilisation de clés de sécurité physiques conformes à la norme FIDO2 ou de l'authentification basée sur des certificats offre le plus haut niveau de protection. À défaut, l'activation de la correspondance des numéros (number matching) dans Microsoft Authenticator oblige l'utilisateur à saisir sur son téléphone le nombre affiché sur l'écran de connexion, empêchant les validations accidentelles dues au harcèlement de notifications.

4. Sensibiliser et tester les collaborateurs

La technologie seule ne peut pas tout résoudre. Face à des techniques de manipulation vocale aussi rodées que celles de Spring Ring, la formation des collaborateurs reste une arme indispensable. Les sessions de sensibilisation doivent intégrer des scénarios de vishing et d'usurpation d'identité du support informatique.

Établissez une procédure stricte et immuable pour toute demande d'assistance technique ou de modification de sécurité. Par exemple, imposez que le service informatique interne ou votre prestataire ne demande jamais de mot de passe, de validation MFA ou d'installation de logiciel de prise en main à distance sans qu'un ticket d'incident préalable ait été ouvert par l'utilisateur lui-même, ou sans une confirmation par un canal de communication secondaire vérifié.

Quand faire appel à un prestataire informatique local pour sécuriser vos outils cloud ?

La configuration fine des environnements Microsoft 365, Teams et Entra ID requiert des compétences techniques pointues que les TPE et PME ne possèdent pas toujours en interne. Face à des menaces sophistiquées comme Spring Ring, l'accompagnement par un professionnel de l'informatique s'avère souvent indispensable pour garantir une protection optimale.

Un consultant informatique à Agen peut réaliser un audit complet de la configuration de vos outils collaboratifs. Cet examen permet d'identifier les failles de configuration, de restreindre les accès externes superflus et de mettre en place des politiques de sécurité adaptées à la taille et aux besoins réels de votre entreprise.

Pour les entreprises qui souhaitent déléguer la gestion quotidienne et la surveillance de leur infrastructure, faire appel à un service d'infogérance entreprise à Agen permet de s'assurer que les correctifs de sécurité sont appliqués et que les configurations cloud restent alignées sur les meilleures pratiques du marché. Si vous suspectez une intrusion ou si vous avez besoin d'une assistance immédiate pour sécuriser un poste de travail, un service de dépannage informatique à Agen peut intervenir pour analyser la situation et nettoyer les systèmes potentiellement compromis.

La sécurité informatique est un processus continu qui nécessite une vigilance de chaque instant. En combinant des configurations techniques rigoureuses, une formation adaptée de vos équipes et l'accompagnement de professionnels locaux, vous réduirez considérablement le risque que votre entreprise devienne la prochaine victime d'une campagne de piratage d'envergure.

Questions fréquentes

Sources

• Unit 42 - Palo Alto Networks
• Cyberproof Analysis
• Paubox Security Blog