Usurpation du support IT sur Microsoft Teams : comment les attaquants exploitent AD CS pour dérober des données sensibles

En novembre 2026, Microsoft a dévoilé une campagne d’attaques où des pirates, se faisant passer pour le service d’assistance IT, contactent les employés via Microsoft Teams pour prendre le contrôle de leurs postes. Ils exploitent ensuite des configurations insuffisamment sécurisées d’Active Directory Certificate Services (AD CS) afin d’obtenir des certificats d’authentification pour des comptes privilégiés, allant jusqu’à copier des données confidentielles vers un serveur externe. Ces intrusions, bien que ne reposant sur aucune faille logicielle inédite, illustrent parfaitement la menace que fait peser la combinaison de l’ingénierie sociale et de lacunes de configuration dans les infrastructures d’authentification. Pour les entreprises françaises, ces attaques soulèvent des questions cruciales en matière de sécurité des identités et de réaction aux incidents.

Le mode opératoire : l’ingénierie sociale au cœur de l’attaque Microsoft Teams

Contact via Teams et usurpation du support IT

Dans les deux intrusions analysées par Microsoft, le point d’entrée est identique : un employé reçoit un message ou un appel sur Microsoft Teams provenant d’une personne se présentant comme membre du service IT ou du help desk. Les attaquants utilisent des locataires externes (tenants) portant des noms à consonance interne, comme « Support-IT-Entreprise », afin de rendre le contact crédible. La simple apparence de légitimité suffit à tromper l’utilisateur, qui ne vérifie pas l’identité via un canal secondaire. Une fois la confiance établie, le pirate demande à l’employé d’ouvrir l’outil d’assistance à distance intégré à Windows : Quick Assist. L’utilisateur lit alors le code de connexion à voix haute, donnant ainsi au pirate un contrôle direct et complet sur le poste de travail.

Obtention du contrôle à distance via Quick Assist

Avec l’accès au bureau de la victime, l’attaquant dépose une archive dans le dossier Téléchargements, l’extrait dans un dossier nommé pour ressembler à une mise à jour Windows, puis exécute son contenu à l’aide d’un runtime Python, Bun ou Java portable. Les noms de fichiers, même copiés, conservent des traces de la version réelle du runtime, ce qui peut constituer un indicateur faible mais utile pour les équipes de détection. À ce stade, l’attaquant n’a encore rien exploité de technique ; il a simplement obtenu la capacité d’exécuter du code sur la machine interne. Le véritable enjeu réside dans l’étape suivante : la remontée de privilèges via AD CS.

« L’ingénierie sociale reste l’un des vecteurs les plus efficaces, car elle contourne les barrières techniques en exploitant la confiance humaine. » - Extrait du rapport Microsoft.

L’exploitation des failles de configuration d’Active Directory Certificate Services (AD CS)

AD CS est le service Windows chargé de délivrer les certificats que les utilisateurs et les ordinateurs présentent lors de l’authentification. Un certificat émis à partir d’un modèle mal configuré permet à son détenteur de s’identifier comme le compte qu’il nomme, même si le mot de passe de ce compte est réinitialisé ou que la machine d’origine est effacée. Les chercheurs avaient identifié dès 2021 plusieurs vulnérabilités de configuration, nommées ESC1 à ESC8. Dans les attaques rapportées, deux d’entre elles sont exploitées : ESC1 et ESC8.

Les vulnérabilités ESC1 et ESC8

• ESC1 : le modèle de certificat autorise le demandeur à spécifier l’identité qu’il souhaite incarner. Ainsi, un utilisateur non privilégié peut demander un certificat pour un compte administrateur. C’est ce qui s’est produit dans la première intrusion.
• ESC8 : le point d’accès web d’inscription aux certificats (web enrollment) accepte l’authentification NTLM sans mesure de protection. L’attaquant peut alors relayer une authentification NTLM forcée (via PetitPotam) vers ce point d’accès et obtenir un certificat pour la machine qui s’est authentifiée.

PetitPotam et relais NTLM pour obtenir un certificat

La technique PetitPotam permet de contraindre un contrôleur de domaine à s’authentifier en NTLM vers une machine contrôlée par l’attaquant. Cette authentification est ensuite relayée vers le service web d’inscription AD CS (ESC8). Aucun mot de passe n’est nécessaire : le relais de hachage NTLM suffit pour obtenir un certificat valide pour le contrôleur de domaine lui-même. Avec ce certificat et le protocole PKINIT, l’attaquant peut demander un ticket Kerberos (TGT) pour le contrôleur, transformant une interception unique en un accès persistant.

Deux scénarios d’intrusion analysés par Microsoft

Cas 1 : Obtention de certificats privilégiés et exfiltration de données

Dans la première attaque, les assaillants identifient un modèle de certificat vulnérable à ESC1. Une première vague cible trois utilisateurs et un poste de travail, générant des certificats pour trois comptes hautement privilégiés. Microsoft Defender réagit automatiquement en révoquant ces identités et en coupant leurs sessions actives. Cependant, un compte privilégié est exclu de cette réponse automatisée. Environ 90 minutes plus tard, une seconde vague touche seize utilisateurs et produit huit certificats supplémentaires pour des comptes privilégiés. Microsoft indique que plus de 1 000 tentatives ultérieures d’accès via SMB ou de connexion sont bloquées. Mais grâce au compte exclu, l’attaquant parvient à se connecter à un contrôleur de domaine, exécute l’outil DCSync pour copier les hachages de mots de passe de l’Active Directory, puis utilise Rclone (renommé) pour exfiltrer des données d’un partage vers un serveur SFTP externe. Microsoft ne précise pas le volume de données dérobées, mais ce cas illustre une leçon importante : un confinement partiel des identités peut réduire l’activité malveillante tout en laissant une voie privilégiée ouverte.

Cas 2 : Ciblage du contrôleur de domaine via ESC8

La seconde intrusion débute de la même manière par un appel Teams et Quick Assist. Mais l’absence de modèle ESC1 conduit les attaquants à utiliser PetitPotam et le relais NTLM (ESC8) pour obtenir un certificat pour le contrôleur de domaine. Cette fois, la réponse est plus efficace : Microsoft Defender déclenche des alertes spécifiques à ESC8, le client isole le poste de travail compromis, et aucune autre activité n’est observée. La différence entre les deux cas tient essentiellement à la capacité de confinement : dans le premier, l’exclusion d’un compte a laissé une faille ; dans le second, l’isolement rapide a stoppé l’attaque.

Recommandations pour sécuriser son infrastructure AD CS face aux attaques Teams

Les mesures de protection ne passent pas par un correctif logiciel, car aucune faille n’est exploitée. Microsoft et les experts en sécurité recommandent une approche combinant sensibilisation, durcissement de la configuration et réaction rapide. Voici les actions prioritaires à mettre en œuvre immédiatement.

1. Sensibiliser les utilisateurs à ne jamais accepter une demande d’assistance sans vérification : tout contact inattendu prétendant venir du support IT doit être confirmé via un canal de communication interne connu (téléphone, e-mail, ticket).

2. Restreindre les locataires Teams externes autorisés et n’autoriser que les outils d’assistance à distance validés par la politique de sécurité.

3. Auditer les modèles de certificats AD CS : rechercher ceux qui permettent au demandeur de spécifier l’identité (ESC1) ou qui sont accessibles à trop d’utilisateurs. Révoquer les droits d’inscription superflus.

4. Durcir le point d’accès web d’inscription : exiger HTTPS, activer Extended Protection for Authentication (EPA) (ce qui est le défaut sur Windows Server 2025, mais doit être activé manuellement sur Server 2022 et 2019), et désactiver l’authentification NTLM sur ce point d’accès si possible. Microsoft fournit des directives dans KB5005413.

5. Activer la journalisation des certificats : en cas d’émission frauduleuse, révoquer le certificat, mais garder à l’esprit que la révocation n’annule pas les tickets Kerberor déjà émis. Il faut donc également inspecter les tickets actifs.

6. Traiter tout compte exclu d’une réponse automatisée comme une décision délibérée et lui associer une action manuelle de vérification.

« La sécurité des certificats AD CS est souvent négligée. Or comme le montre cette campagne, une configuration par défaut insuffisante peut offrir aux attaquants un accès persistant aux comptes les plus critiques. » - Recommandation de l’ANSSI dans un bulletin de 2024.

Leçons pour les entreprises françaises : RGPD, ANSSI et gestion de crise

En France, la Commission Nationale de l’Informatique et des Libertés (CNIL) et l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) rappellent régulièrement l’importance de protéger les données personnelles et les infrastructures critiques. Une intrusion comme celle décrite pourrait entraîner une violation de données au sens du RGPD, avec des obligations de notification sous 72 heures. Les entreprises doivent donc intégrer ces scenarii dans leur plan de réponse aux incidents.

• Anticiper via des exercices de simulation : tester la capacité des équipes à détecter un appel social engineering et à réagir face à une compromission d’AD CS.
• Mettre en place une segmentation des identités : ne pas laisser de compte privilégié sans surveillance ; utiliser des solutions de détection comme Microsoft Defender for Identity qui proposent des contrôles de posture pour les modèles ESC1 et ESC8.
• S’appuyer sur les frameworks de sécurité : ISO 27001 et le guide de sécurisation d’Active Directory de l’ANSSI fournissent des bases solides pour durcir l’annuaire.

Selon une enquête du Club de la Sécurité de l’Information (CESIN) publiée en 2025, 43 % des entreprises françaises ont subi une tentative d’ingénierie sociale via des outils de collaboration au cours des 12 derniers mois. La menace est bien réelle et justifie une vigilance accrue.

Conclusion : la vigilance et la configuration restent les meilleures défenses

Les attaques récentes utilisant Microsoft Teams comme vecteur d’accès initial et AD CS comme tremplin vers les comptes à privilèges illustrent une tendance préoccupante : les cybercriminels n’ont plus besoin de failles logicielles complexes pour pénétrer un système. Il leur suffit d’exploiter la confiance humaine et des configurations laissées par défaut. Les entreprises françaises doivent revoir leurs politiques de contrôle d’accès, durcir leurs services de certificats (Active Directory Certificate Services) et mettre en place des procédures de vérification rigoureuses pour toute demande d’assistance à distance. En parallèle, la capacité de détection et de réponse rapide, comme l’a montré le second cas Microsoft, peut faire la différence entre une attaque stoppée et une fuite massive de données. Ne sous-estimez pas l’importance de ces gestes simples : un employé averti et un AD CS correctement configuré constituent la première ligne de défense contre ce type de menace.

Pour aller plus loin : testez régulièrement vos modèles de certificats avec des outils d’audit comme ADCert ou CrackMapExec, et formez vos équipes à reconnaître les signes d’une tentative d’ingénierie sociale sur Teams. La sécurité est l’affaire de tous.