Équipes Microsoft

Publié le 28 novembre 2023 10h58. Une nouvelle faille de sécurité dans Microsoft Teams permettrait aux attaquants de contourner les protections de sécurité habituelles en invitant les utilisateurs à rejoindre des environnements malveillants, ouvrant la porte à des attaques de phishing et à l’exfiltration de données.

• Une fonctionnalité d’invitation récemment introduite par Microsoft permet aux attaquants d’inviter facilement des utilisateurs à rejoindre des environnements Teams non sécurisés.
• Les protections de sécurité telles que Defender pour Office 365 peuvent être contournées en utilisant cette méthode.
• Les équipes de sécurité peuvent atténuer le risque en restreignant les invitations d’invités et en sensibilisant les utilisateurs.

Microsoft Teams, devenu un outil de collaboration essentiel pour de nombreuses entreprises, offre la possibilité d’intégrer des utilisateurs externes. Cependant, cette fonctionnalité, si elle facilite la productivité, présente des risques de sécurité, selon une nouvelle étude de la société de sécurité Ontinue. La connexion à un environnement externe non sécurisé peut exposer les utilisateurs, et les attaquants exploitent désormais cette vulnérabilité à grande échelle.

Rhys Downing, chercheur sur les menaces chez Ontinue, explique :

« Une protection efficace n’est pas inhérente à [Teams] ; elle émerge de la façon dont chaque locataire choisit de gérer l’accès externe, les limites d’identité et les contrôles de sécurité intégrés. »

Rhys Downing, chercheur sur les menaces, Ontinue

La faille ne réside pas dans une vulnérabilité de Teams elle-même, mais dans la nature de la collaboration entre différents environnements. Les utilisateurs invités dans un autre environnement ne bénéficient pas des mêmes protections que dans leur propre espace de travail.

Concrètement, les attaquants peuvent ainsi contourner les protections offertes par Defender pour Office 365, telles que la sécurisation des liens, la suppression automatique des menaces de type “zero hour” et l’analyse antivirus, en invitant les utilisateurs à rejoindre des environnements compromis. Cette situation est d’autant plus préoccupante que Microsoft a récemment déployé une nouvelle fonctionnalité, référencée sous le nom MC1182004, qui simplifie l’envoi d’invitations à des personnes possédant une simple adresse e-mail. Les destinataires reçoivent alors une invitation à rejoindre la conversation en tant qu’invité, soit via Teams, soit par e-mail (provenant de Microsoft, et donc moins susceptible d’être filtrée par les systèmes de sécurité de messagerie).

Il est important de noter que cette fonctionnalité d’envoi d’invitations est activée par défaut. De plus, elle est accessible même avec des licences Teams peu coûteuses (Teams Essentials, Business Basic ou versions d’essai), ce qui permet aux attaquants de créer facilement et à moindre coût des environnements non sécurisés pour piéger leurs victimes.

Les équipes de sécurité peuvent désactiver l’envoi d’invitations via une commande PowerShell, mais il n’existe aucun moyen de bloquer les invitations reçues. Rhys Downing d’Ontinue qualifie cette situation de « vecteur d’attaque parfait pour les acteurs malveillants qui comprennent le fonctionnement de la sécurité entre locataires ».

Une fois qu’un utilisateur est intégré à un environnement non sécurisé, l’attaquant dispose de nombreuses options : envoi de liens de phishing indétectables, distribution de logiciels malveillants sans alerte, manipulation psychologique (ingénierie sociale) et exfiltration de données sous de faux prétextes.

Pour protéger leurs utilisateurs, Ontinue recommande les mesures suivantes :

1. Restreindre les invitations d’invités B2B aux seuls domaines de confiance.
2. Mettre en œuvre des politiques d’accès entre locataires.
3. Limiter les communications externes au sein de Teams.
4. Sensibiliser les utilisateurs aux dangers potentiels.