Un message arrive sur Teams : « Bonjour, ici le support IT, votre session expire dans 15 minutes. Cliquez ici pour renouveler vos accès. » Le message vient d’un compte externe autorisé par la configuration par défaut du tenant. Trois collaborateurs cliquent avant que quiconque ne signale l’anomalie. Ce scénario, encore marginal il y a deux ans, se répète désormais à un rythme que les équipes sécurité peinent à absorber.
Le phishing ne se cantonne plus à l’e-mail. Les cybercriminels ciblent aujourd’hui les réseaux professionnels, qu’il s’agisse de plateformes publiques comme LinkedIn ou d’outils collaboratifs internes comme Microsoft Teams et Slack. On passe d’une menace connue, balisée par des filtres anti-spam matures, à un terrain où les réflexes de méfiance n’existent pas encore.
Phishing sur Microsoft Teams : pourquoi les filtres e-mail ne servent plus à rien
Quand on parle de hameçonnage en entreprise, la plupart des responsables IT pensent d’abord à la passerelle de messagerie. Les investissements en filtrage, sandboxing et analyse comportementale y sont massifs. Les attaquants le savent, et ils contournent tout simplement ce périmètre.
Microsoft Threat Intelligence rapporte qu’au deuxième trimestre 2026, les tentatives d’appels malveillants via Teams ont été multipliées par près de dix par rapport au niveau moyen de mi-2025, avec une croissance continue entre mars et juin 2026. Le vecteur privilégié : l’usurpation d’un compte de support IT interne, qui demande d’installer un correctif ou de valider une authentification expirée.
Le problème de fond, c’est que Teams et Slack héritent d’un climat de confiance propre aux communications internes. Un collaborateur qui reçoit un e-mail suspect peut hésiter. Le même message reçu dans un canal Teams provoque rarement la même vigilance. L’outil collaboratif neutralise les réflexes acquis sur l’e-mail.
Configuration par défaut et accès externes
Sur Teams, la configuration par défaut de nombreux tenants autorise les communications entrantes depuis des comptes externes. Un attaquant n’a pas besoin de compromettre un compte interne : il crée un tenant jetable, adopte un nom d’affichage crédible (« IT-Support-Corp ») et initie un chat. Tant que l’organisation n’a pas restreint l’accès externe ou activé les alertes sur les messages entrants non sollicités, la porte reste ouverte.
Slack a publié un correctif de sécurité en août 2024 après la découverte de vulnérabilités similaires. Les retours varient sur ce point selon la taille des organisations, mais la tendance de fond est claire : les outils collaboratifs deviennent un vecteur de collecte d’identifiants en entreprise aussi sérieux que le mail classique.
LinkedIn et l’usurpation de marque : le phishing B2B qui passe sous le radar
LinkedIn occupe une place à part dans l’écosystème du phishing professionnel. La plateforme figure parmi les marques les plus usurpées dans les campagnes de brand phishing, aux côtés de Microsoft. Les attaquants exploitent la logique même du réseau : on y accepte des connexions de personnes qu’on ne connaît pas, on y partage son poste, son périmètre de responsabilité, ses projets.
- Des faux profils de recruteurs ou de partenaires commerciaux initient une conversation anodine, puis dirigent la cible vers un formulaire de candidature ou un document partagé piégé.
- Des messages InMail imitent des notifications officielles LinkedIn (« Votre profil a été consulté par un décideur chez X ») et renvoient vers une page de connexion frauduleuse.
- Des campagnes ciblent spécifiquement les cadres et dirigeants, dont les profils détaillés permettent de personnaliser le message avec une précision redoutable.
La DGSI a publié un flash dédié aux approches malveillantes sur les réseaux sociaux professionnels, soulignant que l’usage non contrôlé de ces plateformes expose les salariés de tous niveaux à des risques d’escroquerie, de déstabilisation et de captation d’informations stratégiques. Le réseau social professionnel est devenu un outil de renseignement pour les attaquants.
Attaques BEC et phishing conversationnel sur les réseaux professionnels
Le Business Email Compromise (BEC) classique repose sur l’usurpation d’identité d’un dirigeant ou d’un fournisseur pour déclencher un virement frauduleux. Sa version « réseau professionnel » suit la même logique, mais avec un canal différent et une phase de préparation plus longue.
Le phishing conversationnel installe la confiance avant de frapper. L’attaquant échange pendant plusieurs jours ou semaines sur LinkedIn, Teams ou Slack. Il pose des questions sur l’organisation, valide des noms de responsables, identifie les circuits de validation. Quand il envoie enfin sa demande (un document à signer, un lien vers une plateforme de paiement), la cible n’a plus de raison de douter.
Ce qui rend ces attaques plus difficiles à détecter
- Le message ne transite pas par la passerelle e-mail, donc il échappe aux outils de détection traditionnels.
- L’historique de conversation crée un contexte de légitimité que l’e-mail isolé ne peut pas reproduire.
- Les plateformes collaboratives génèrent un volume de notifications tel que les alertes de sécurité s’y noient.
- Les équipes sécurité n’ont souvent pas de visibilité sur les messages échangés dans Teams ou Slack, faute d’intégration avec le SIEM.
Mesures concrètes contre le phishing sur les outils collaboratifs
On ne peut pas demander aux collaborateurs de se méfier de chaque message Teams comme d’un e-mail inconnu. L’approche doit être technique avant d’être humaine.
Restreindre l’accès externe sur Teams et Slack constitue la première action à mener. Sur Teams, cela passe par la configuration des politiques d’accès externe dans le centre d’administration, en limitant les communications aux domaines partenaires identifiés. Sur Slack, on désactive Slack Connect pour les canaux non validés.
Ensuite, il faut intégrer les logs des plateformes collaboratives au SIEM existant. Sans cette visibilité, un incident sur Teams reste invisible jusqu’à ce qu’un utilisateur le signale, souvent trop tard.
Les campagnes de simulation de phishing doivent aussi évoluer. Envoyer des faux e-mails ne suffit plus. Simuler une attaque via Teams ou via un faux profil LinkedIn permet de mesurer le niveau réel de vigilance des équipes sur ces canaux encore perçus comme sûrs.
La surface d’attaque du phishing s’est élargie bien au-delà de la boîte de réception. Les réseaux professionnels, qu’ils soient internes ou publics, offrent aux attaquants un terrain où la confiance est le paramètre par défaut. Adapter les outils de détection, durcir les configurations et former sur les bons canaux : c’est là que se joue la prochaine ligne de défense.
