L’arnaque au faux support IT sur Teams consiste à contacter un salarié depuis un compte Microsoft Teams externe déguisé en « Service informatique », puis à lui faire ouvrir une session de prise en main à distance. Vous la bloquez en combinant trois mesures techniques (restreindre l’accès externe Teams, couper les outils d’assistance non approuvés, activer les protections disponibles) et une règle humaine simple : le support ne vous contacte jamais en premier.
Ce scénario n’a rien de nouveau, mais il revient en force : de nouvelles campagnes qui utilisent ces faux messages d’assistance pour installer des logiciels malveillants puis un rançongiciel ont encore été documentées en octobre 2026. Ce tutoriel vous donne les réglages à appliquer dans l’ordre, du plus simple au plus technique.
Comment se déroule une attaque par faux support Teams
Le schéma décrit par Microsoft dès 2024 reste le même. L’attaquant commence souvent par inonder la boîte mail de la victime de centaines d’inscriptions à des newsletters, ce qu’on appelle le bombardement d’emails. Quelques minutes plus tard, un message ou un appel Teams arrive d’un compte nommé « Help Desk » ou « Support IT », qui propose de « régler le problème de spam ».
La victime, soulagée qu’on s’occupe d’elle, accepte d’ouvrir Quick Assist (Assistance rapide, intégré à Windows) ou d’installer un outil de prise en main à distance du marché. À partir de là, l’attaquant dispose d’une session interactive sur un poste de votre réseau. Il dépose un premier outil, récupère des identifiants, se déplace vers d’autres machines et, dans les cas documentés par Microsoft, finit par déployer un rançongiciel.
Deux points rendent cette attaque efficace dans une PME :
- par défaut, Microsoft Teams accepte les échanges avec n’importe quelle organisation externe, et le message ressemble à une conversation interne ;
- le salarié n’a rien « cliqué » de suspect : c’est lui qui donne l’accès, ce qui contourne une bonne partie des filtres de messagerie.
Bloquer le faux support IT Teams en 6 étapes
Les étapes 2 à 4 se font dans le centre d’administration Microsoft Teams et sur vos postes Windows. Comptez une demi-journée pour l’ensemble si votre parc est géré par Intune ou une GPO.
Étape 1 : fixez la règle « le support n’appelle jamais en premier »
Avant tout réglage, écrivez une règle d’une ligne et diffusez-la à toute l’entreprise : votre service informatique, ou votre infogérant, ne contacte jamais un salarié de sa propre initiative pour prendre la main sur son poste. Toute demande de ce type doit être vérifiée en rappelant le support par le numéro interne habituel, jamais par celui fourni dans le message.
Ajoutez un repère visuel : le vrai support utilise toujours un compte de votre domaine, jamais un compte affiché comme « Externe ». Intégrez ce cas dans votre programme de sensibilisation ; notre programme de sensibilisation phishing en 30 jours se prête bien à l’ajout d’un module « faux support ».
Étape 2 : restreignez l’accès externe Teams à une liste d’autorisation
Dans le centre d’administration Teams, ouvrez Utilisateurs > Accès externe. Le réglage par défaut autorise toutes les organisations externes. Passez sur « Autoriser uniquement des domaines externes spécifiques » et ajoutez les domaines de vos clients, fournisseurs et prestataires avec lesquels vous échangez réellement sur Teams.
Pour constituer cette liste sans bloquer le travail, partez de vos contrats et de vos interlocuteurs réguliers, puis prévoyez une adresse ou un formulaire simple pour demander l’ajout d’un domaine. Une PME a rarement plus de quelques dizaines de partenaires Teams.
Étape 3 : coupez les échanges avec les comptes Teams non gérés
Sur la même page, une section distincte gère les comptes Teams non gérés par une organisation, c’est-à-dire les comptes personnels. Désactivez la possibilité pour vos utilisateurs de communiquer avec eux, ou au minimum interdisez à ces comptes d’engager la conversation. Beaucoup de campagnes passent par des locataires Microsoft 365 jetables ou des comptes personnels : ce réglage leur ferme la porte sans gêner vos partenaires professionnels.
Si vous avez déjà appliqué les réglages de notre guide pour sécuriser Microsoft 365 en PME, vérifiez que ces deux options Teams en font bien partie : elles sont souvent oubliées.
Étape 4 : désinstallez Quick Assist et bloquez les outils d’accès distant non approuvés
Microsoft recommande de bloquer ou de désinstaller Quick Assist et les outils de gestion à distance que l’entreprise n’utilise pas. Si votre support utilise un autre outil, Quick Assist n’a aucune raison d’être présent sur les postes. Vous pouvez le retirer par script PowerShell (paquet MicrosoftCorporationII.QuickAssist) déployé via Intune ou une GPO.
Faites ensuite la liste des outils de prise en main à distance réellement utilisés (un seul, idéalement) et bloquez les autres avec AppLocker, Windows Defender Application Control ou votre EDR. Un attaquant qui ne peut ni lancer Quick Assist ni installer un outil grand public doit passer par une méthode plus bruyante, donc plus facile à repérer.
Étape 5 : activez les protections Teams de votre licence
Selon votre abonnement, Microsoft Defender pour Office 365 étend certaines protections à Teams : analyse des liens au moment du clic, signalement des messages suspects par les utilisateurs et, dans les offres supérieures, suppression automatique de messages malveillants déjà distribués. Vérifiez ce que votre licence inclut et activez-le.
Activez aussi le signalement des messages par les utilisateurs dans Teams : un salarié qui reçoit un faux message de support doit pouvoir le signaler en deux clics, et votre équipe ou votre prestataire doit recevoir l’alerte.
Étape 6 : surveillez les signaux et testez le scénario
Trois signaux méritent une alerte : un pic soudain d’emails d’inscription vers une même boîte, un premier message Teams externe suivi d’un appel, et le lancement d’un outil de prise en main à distance sur un poste qui n’en utilise jamais. Pris isolément, aucun n’est grave ; enchaînés en moins d’une heure, ils décrivent presque toujours cette attaque.
Enfin, testez la procédure une fois par an : un message Teams interne de test, présenté comme une demande du support, permet de vérifier que la règle de l’étape 1 est connue et que le signalement fonctionne.
Ces enchaînements de signaux se détectent et se contiennent avec une surveillance continue des postes et de Microsoft 365 : découvrez notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- Le faux support IT sur Teams exploite la confiance, pas une faille : le salarié ouvre lui-même la porte.
- Une règle écrite « le support n’appelle jamais en premier » est la mesure la moins chère et la plus efficace.
- Restreignez l’accès externe Teams à vos partenaires et coupez les comptes non gérés.
- Retirez Quick Assist et tout outil de prise en main à distance que vous n’utilisez pas.
- Un bombardement d’emails suivi d’un message Teams externe doit déclencher une alerte immédiate.
Sources
- Microsoft Threat Intelligence : détournement de Quick Assist dans des attaques d’ingénierie sociale menant au rançongiciel
- Microsoft Learn : gérer l’accès externe dans Microsoft Teams
- Microsoft Learn : Quick Assist, déploiement et désinstallation
- Microsoft Learn : Defender pour Office 365 et Microsoft Teams
- The Hacker News : faux support IT sur Teams pour déployer malwares et rançongiciels