Microsoft Teams envoie chaque semaine des millions de demandes de collaboration a travers les frontieres des entreprises. En 2026, cette fluidite est devenue l'arme la plus sous-estimee dans l'arsenal des attaquants. STAC4749 vient de le demontrer de maniere clinique : un appel Teams, 17 heures, et c'est le chiffrement complet d'un reseau d'entreprise. Voici pourquoi votre outil de collaboration est devenu votre nouveau perimetre — et comment peu de RSSI l'ont reellement securise.

Du perimetre reseau au perimetre humain : l'evolution silencieuse

Pendant deux decennies, la securite des systemes d'information s'est construite sur un modele simple : un perimetre reseau dur, des firewalls en frontiere, un acces VPN pour les nomades, et une confiance implicite accordee a tout ce qui se trouvait "a l'interieur". Ce modele a progressivement cede sous la pression du cloud, du BYOD et du travail hybride. Le Zero Trust a emerge comme reponse architecturale a cet effondrement. De nombreuses organisations ont investi massivement dans cette transformation : MFA generalise, EDR sur tous les postes, microsegmentation reseau, SASE, ZTNA.

Mais pendant que les equipes securite travaillaient a eliminer la confiance implicite dans les reseaux, un autre perimetre se formait, invisible et non securise : le perimetre humain via les outils de collaboration. Microsoft Teams, deploye massivement depuis 2020, compte plus de 320 millions d'utilisateurs actifs declares par Microsoft debut 2026. Ces outils ne sont plus de simples messageries — ils sont devenus le systeme nerveux operationnel des entreprises modernes. On y prend des decisions, on y partage des documents confidentiels, on y gere des crises en temps reel.

Et pourtant, leur configuration de securite par defaut ouvre un canal de communication entre votre organisation et n'importe quel utilisateur Teams dans le monde. La fonctionnalite "acces externe" — egalement appelee federation — est activee par defaut dans tous les tenants Microsoft 365. Elle permet a tout utilisateur d'un tenant externe de contacter vos employes par message ou par appel vocal. Sans restriction de domaine, sans liste blanche approuvee, sans validation prealable. Votre receptionniste, votre stagiaire en comptabilite, votre directeur technique — tous joignables depuis un compte Teams cree en cinq minutes avec n'importe quelle adresse email.

Ce n'est pas une faille technique au sens CVE du terme. C'est une fonctionnalite de collaboration inter-entreprises, deliberee et documentee. Mais c'est aussi, de fait, une surface d'attaque beante qui permet a n'importe quel acteur malveillant de contacter directement vos employes en beneficiant de l'aura de legitimite d'une plateforme "officielle". L'interface Teams, avec ses icones corporate, ses fonctionnalites de partage d'ecran, ses outils de prise en main a distance disponibles en un clic (Quick Assist), fournit aux attaquants exactement l'environnement dont ils ont besoin pour reussir une ingenierie sociale a grande echelle.

La transition est donc complete : votre perimetre de securite operationnel n'est plus uniquement vos firewalls ni vos proxies. C'est aussi — et de plus en plus — la capacite de discernement de vos utilisateurs face a un interlocuteur Teams qui semble legitime. Et c'est une frontiere que tres peu d'organisations ont appris a defendre avec la meme rigueur que leurs infrastructures reseau.

STAC4749 : dissection d'une campagne industrialisee

La campagne STAC4749, documentee par Sophos le 31 juillet 2026 apres six mois d'observation active entre fevrier et juin 2026, est un cas d'ecole de cette nouvelle generation d'attaques. Elle illustre non pas une attaque sophistiquee au sens technique — aucune CVE n'est exploitee, aucun bypass de securite technique n'est realise — mais une attaque chirurgicalement calibree pour exploiter les failles humaines et organisationnelles les plus communes.

Le point de depart : un compte Microsoft Teams externe. L'attaquant cree un compte avec un nom evocateur — "IT Support", "Helpdesk Informatique", "[Nom de la cible] Service Desk" — accompagne d'une photo de profil corporate. Dans plusieurs incidents documentes par Sophos, les attaquants avaient effectue une reconnaissance prealable sur le site web de la cible et sur LinkedIn pour identifier le nom reel du service IT, reproduire les denominations exactes des equipes de support, et parfois reutiliser des photos de profil d'employes IT reels. Le niveau de personnalisation variait selon les cibles : certaines attaques etaient opportunistes, d'autres hautement ciblees.

La mecanique d'attaque suit ensuite un script bien rode. L'attaquant initie une conversation Teams chat, puis escalade vers un appel vocal, invoquant une urgence plausible. Une fois la confiance etablie, il guide l'employe vers Quick Assist ou vers RemSupp. L'employe entre le code a six chiffres communique par l'attaquant. La prise en main a distance est etablie. L'attaquant ouvre PowerShell, telecharge ses payloads, procede a la reconnaissance interne et deploie le ransomware Chaos.

La vitesse d'execution est le fait le plus alarmant : moins de 17 heures du premier contact Teams au chiffrement complet dans le cas le plus rapide documente. Ce chiffre doit etre mis en regard des MTTD (Mean Time To Detect) medians observes en entreprise, souvent superieurs a plusieurs heures pour des incidents ne generant pas d'alerte technologique immediate. STAC4749 ne genere pas d'alerte technique dans les premieres heures : Quick Assist est un outil legitime, PowerShell est utilise quotidiennement, les premiers telechargements de payloads ressemblent a des mises a jour logicielles. Quand les alarmes sonnent, la machine de chiffrement est deja en marche.

Sophos observe que la geographie des cibles — 95 % nord-americaines, Canada 50%, Etats-Unis 45% — reflete la forte penetration de Microsoft Teams dans ces marches et la densite d'organisations utilisant Quick Assist. La concentration sectorielle sur l'industrie, l'energie et la construction suggere un ciblage delibere des populations d'employes moins exposees aux formations de sensibilisation cyber regulieres comparativement aux secteurs financier ou tech.

Psychologie de la confiance : pourquoi vos utilisateurs n'y resistent pas

Pour comprendre pourquoi STAC4749 fonctionne, il faut comprendre pourquoi vos utilisateurs obeissent. La reponse n'est ni la stupidite ni la negligence — c'est une reponse previsible a des mecanismes psychologiques profonds que les attaquants exploitent avec une precision croissante.

L'autorite instrumentalisee. Dans la hierarchie implicite de l'entreprise, le service informatique dispose d'une autorite legitime sur les postes de travail. La demande de partage d'ecran ou d'installation d'un outil de support est percue comme normale — c'est exactement ce que fait le vrai IT quand il assiste un employe. L'attaquant ne fait que singer un comportement institutionnalise et attendu. La resistance psychologique est quasi nulle car la demande s'inscrit dans un cadre de reference parfaitement legitime.

L'urgence fabriquee. "Votre compte a ete compromis", "une mise a jour critique doit etre deployee dans les 30 minutes", "votre poste bloque le reseau de votre service". Ces pretextes activent le sentiment d'urgence qui court-circuite la reflexion critique. Sous pression temporelle, le cerveau humain bascule en mode decisionnel rapide — le Systeme 1 decrit par Kahneman. Ce mode favorise la conformite aux attentes sociales percues plutot que l'analyse critique de la situation.

La legitimite de la plateforme. Teams n'est pas un email d'expediteur inconnu avec un lien bizarre. C'est la plateforme de communication officielle de l'entreprise, celle par laquelle le vrai IT communique deja quotidiennement. La perception de risque associee a un message Teams est structurellement plus basse que pour un email entrant. Les utilisateurs ont conditionne leur vigilance a d'autres canaux — emails avec des domaines etranges, SMS avec des liens suspects — mais pas a Teams, qu'ils vivent comme un espace interne et securise par definition.

La friction sociale du refus. Dire non a un agent IT qui appelle pour resoudre un incident urgent est inconfortable socialement. L'employe qui refuse ressent qu'il nuit a l'organisation, qu'il sera percu comme non-cooperatif. Les attaquants formulent leurs demandes pour maximiser ce cout psychologique du refus : la compliance est la voie de moindre resistance sociale.

Ces quatre mecanismes combines creent une vulnerabilite systemique que la technique seule ne peut pas corriger. Aucun antivirus, aucun EDR, aucune passerelle email ne detecte un employe qui ouvre volontairement Quick Assist sur demande d'un attaquant. La defense requiert une approche comportementale : former les utilisateurs a reconnaitre ces patterns, leur donner des procedures de verification claires, et creer une culture ou le scepticisme face a une demande inhabituelle est valorise, pas penalise.

La surface d'attaque Teams que votre equipe securite ne modelise probablement pas

Au-dela du vishing STAC4749, Microsoft Teams presente une surface d'attaque plus etendue que ce que la majorite des equipes securite incluent dans leur modele de menace.

L'acces externe non controle. Actif par defaut dans tout tenant Microsoft 365, il permet a n'importe quel compte Teams au monde de contacter vos employes. Le Centre d'administration Teams permet de restreindre cet acces a des domaines specifiques approuves, ou de le desactiver entierement. La question a poser : avez-vous reellement besoin que tout utilisateur Teams externe puisse contacter vos employes sans validation ? Pour la majorite des organisations, la reponse est non.

Les comptes invites (Guest) comme vecteur de persistance. La fonctionnalite Guest Access permet d'inviter des utilisateurs externes dans des canaux Teams internes. Une fois invite, un attaquant peut acceder a l'historique complet du canal, partager des fichiers dans SharePoint associe, et interagir avec tous les membres. Les comptes Guest sont frequemment crees pour des projets ponctuels et jamais supprimes. Un audit des comptes Guest actifs dans un tenant revele regularitement des dizaines de comptes abandonnes, potentiellement compromis, disposant d'acces persistants a des informations sensibles.

L'injection de fichiers via Teams. Teams est integre nativement a SharePoint pour le partage de fichiers. Un fichier partage dans un canal est stocke dans SharePoint. Si un attaquant dispose d'un acces Guest ou convainc un employe de partager un fichier, il peut distribuer des payloads a tous les membres du canal — souvent sans passer par les filtres de securite email traditionnels, ces fichiers beneficiant de la confiance implicite des partages internes.

L'absence de journalisation orientee securite. La majorite des organisations ne disposent pas d'une journalisation Teams suffisante pour detecter un incident STAC4749 avant le deploiement du ransomware. Les logs d'appels Teams, les logs d'utilisation de Quick Assist existent dans Microsoft 365 Purview et Entra ID — mais ils sont rarement exportes vers un SIEM et correles avec d'autres sources. L'intrusion STAC4749 n'est detectee qu'au moment du chiffrement, quand les systemes d'alerte sonnent enfin.

Construire un perimetre de confiance zero autour de Teams

La bonne nouvelle : la majorite de ces vecteurs d'attaque peuvent etre significativement reduits par une configuration rigoureuse de Teams et de Microsoft 365, sans impacter la productivite des equipes.

Action 1 — Restreindre l'acces externe (priorite maximale, moins de 30 minutes). Dans le Centre d'administration Teams > Utilisateurs > Acces externe, basculer de "Autoriser tous les domaines externes" a "Autoriser uniquement les domaines specifiques" en listant vos partenaires legitimes. Si votre organisation n'a pas de besoin de collaboration inter-entreprises via Teams, desactiver entierement l'acces externe. Cette action seule ferme le vecteur principal de STAC4749.

Action 2 — Bloquer Quick Assist sur les postes non-IT (GPO). Deployer une GPO pour desactiver Quick Assist via "Configuration ordinateur > Modeles d'administration > Composants Windows > Aide rapide". Les agents IT conservent l'outil sur leurs postes dedies et utilisent des solutions de teleassistance centralement gerees. Cette mesure elimine le vecteur de prise en main a distance favori de STAC4749.

Action 3 — Procedure de verification d'identite IT. Definir et communiquer une regle simple : tout agent IT demandant un acces a distance via Teams doit etre verifie par un appel telephonique sur le numero officiel du helpdesk — trouve dans l'annuaire interne, jamais dans le message recu. Tester cette procedure regulierement via des simulations de vishing. Recompenser les employes qui signalent une tentative.

Action 4 — Journalisation Teams dans le SIEM. Configurer l'export des logs Microsoft 365 Unified Audit Logs vers votre SIEM via Event Hub. Creer des alertes correlant : sessions Quick Assist ouvertes + execution PowerShell dans les 30 minutes suivantes sur le meme poste. Cette correlation cross-source est la signature comportementale de STAC4749 et aurait permis une detection bien avant le deploiement du ransomware.

Action 5 — Audit et purge des comptes Guest. Extraire la liste des comptes Guest actifs via Entra ID. Pour chaque compte : identifier le commanditaire interne, verifier la legitimite de l'acces, supprimer les comptes inactifs. Implementer des revues d'acces periodiques via Microsoft Entra Identity Governance pour automatiser la gouvernance des invites.

Action 6 — Former et tester de maniere continue. Une sensibilisation annuelle ne suffit pas face a des attaques aussi calibrees psychologiquement. Integrer des simulations de vishing Teams dans le programme securite, au meme titre que les campagnes de phishing simule. Mesurer le taux de compliance, de-briefer sans penalite, utiliser les resultats pour orienter les formations ciblees.

Mon avis d'expert

STAC4749 n'est pas une anomalie — c'est la normalisation d'un vecteur d'attaque que j'observe en progression constante depuis 2024 dans mes missions terrain. Ce qui me frappe le plus dans cette campagne, c'est la brutalite de l'asymetrie : des equipes securite qui investissent des centaines de milliers d'euros dans des outils techniques sophistiques, face a un attaquant qui cree un compte Teams gratuit en cinq minutes et appelle un employe. La victoire de l'attaquant en moins de 17 heures dit tout de l'etat de la formation utilisateur dans la majorite des organisations aujourd'hui.

Je dis souvent a mes clients que la securite de leur SI est aussi forte que l'employe le moins forme qui a acces a un poste connecte. STAC4749 le confirme empiriquement. La solution n'est pas de rendre Teams inutilisable ni de desactiver toute collaboration — c'est d'aligner les politiques de securite Teams avec le niveau de risque reel que cet outil represente. Ce qui commence par auditer une configuration que la plupart des organisations n'ont jamais revue depuis le deploiement initial en 2020-2021. Si vous ne savez pas ce que contient votre section "Acces externe" dans le Centre d'administration Teams en ce moment, vous avez votre premiere action prioritaire.

Conclusion : le perimetre humain merite la meme rigueur que le perimetre reseau

STAC4749 pose une question simple et inconfortable aux RSSI : si un attaquant peut compromettre une organisation entiere en appelant un employe sur Teams, quel est le ROI reel des investissements purement techniques de detection et de protection reseau ?

La reponse n'est evidemment pas d'abandonner ces investissements — EDR, SIEM, segmentation reseau, ZTNA restent necessaires et complementaires. C'est de les completer avec une defense du perimetre humain traitee avec la meme rigueur que la defense du perimetre reseau. Configuration Teams revue et restrictive, formation utilisateur continue et testee, procedures de verification d'identite claires et appliquees, journalisation des evenements Teams dans le SIEM, gouvernance des comptes Guest.

Le paradoxe de 2026 est la : des organisations qui ont implemente des architectures Zero Trust reseau sophistiquees ont laisse leur configuration Teams en etat de sortie de boite depuis le deploiement initial. STAC4749 rappelle que Zero Trust doit s'appliquer aussi aux conversations — pas seulement aux paquets reseau. Et que la confiance implicite accordee a Microsoft Teams en tant que "plateforme securisee" est precisement ce que les attaquants exploitent.

Besoin d'un regard expert sur votre securite ?

Discutons de votre contexte specifique.

Prendre contact