Comment des escrocs parviennent à envoyer des e‑mails de phishing depuis une véritable adresse Microsoft

Les campagnes de phishing reposent habituellement sur des expéditeurs falsifiés ou des domaines imitant ceux d’entreprises connues. Dans ce cas précis, la méthode est plus subtile : les escrocs font envoyer leurs messages… par Microsoft lui‑même.

Des chercheurs en sécurité et des journalistes ont observé des messages frauduleux provenant de l’adresse légitime msonlineservicesteam@microsoftonline.com, utilisée normalement pour envoyer des alertes de sécurité ou des codes de vérification liés aux comptes Microsoft. Comme ces e‑mails sont générés par l’infrastructure officielle de Microsoft, ils peuvent paraître techniquement authentiques et passer plusieurs contrôles de sécurité des systèmes de messagerie.

Selon les observations publiées, cette activité durerait depuis plusieurs mois. Les attaquants ne piratent pas directement les serveurs de Microsoft : ils exploitent plutôt des fonctionnalités normales de la plateforme.

Comment fonctionne l’attaque

Les analyses menées par des chercheurs indiquent que la campagne exploite certaines fonctions de configuration dans Microsoft Entra ID (anciennement Azure Active Directory), notamment celles liées au branding et aux notifications automatiques.

Le scénario observé suit généralement plusieurs étapes :

1. Création d’un tenant Microsoft 365
   Les attaquants ouvrent un nouvel environnement Microsoft 365, souvent associé à un domaine temporaire du type onmicrosoft.com. Cela leur donne accès aux paramètres d’administration standard.

2. Manipulation des champs de branding
   Dans Entra ID, les organisations peuvent personnaliser certains éléments, par exemple le nom de l’organisation. Les chercheurs ont constaté que les escrocs placent directement leur message frauduleux dans ces champs : fausse alerte d’achat, problème de facturation ou invitation à appeler un faux support technique.

3. Déclenchement d’une notification système
   Les attaquants lancent ensuite un processus légitime, comme l’ajout d’une nouvelle adresse e‑mail pour la connexion ou la récupération d’un compte. Au lieu de leur propre adresse, ils saisissent celle de la victime.

4. Envoi automatique par Microsoft
   Le système de notifications de Microsoft envoie alors un e‑mail automatique à la cible. Comme les modèles d’e‑mail incluent le nom du tenant ou d’autres éléments personnalisés, le texte frauduleux apparaît dans un message qui semble autrement officiel.

Autrement dit, les attaquants injectent leur contenu de phishing dans un e‑mail généré par Microsoft lui‑même.

Techniques utilisées pour contourner les filtres

Les chercheurs ont identifié plusieurs astuces destinées à rendre les messages plus crédibles et plus difficiles à détecter automatiquement.

• Détournement de l’objet du message – Les escrocs remplissent les champs personnalisables avec un long texte frauduleux afin qu’il domine l’objet ou l’aperçu du message.
• Caractères ressemblants (homoglyphes) – Certains caractères visuellement similaires remplacent des lettres classiques pour tromper les filtres basés sur des mots‑clés.
• Numéros de téléphone masqués – Les numéros peuvent être écrits avec des lettres ou des symboles inhabituels pour contourner les filtres anti‑spam.

Ces techniques permettent au message de passer sous les radars des outils automatiques tout en restant lisible pour les destinataires humains.

Pourquoi ces e‑mails paraissent authentiques

Le danger principal vient du fait que les messages ne sont pas simplement usurpés.

Ils sont réellement envoyés par les serveurs de Microsoft. Par conséquent, ils peuvent réussir les vérifications d’authentification utilisées par de nombreux services de messagerie, notamment SPF, DKIM et DMARC.

Pour l’utilisateur, plusieurs signaux de confiance sont réunis :

• une adresse d’expéditeur Microsoft légitime
• une infrastructure d’envoi authentifiée
• une présentation similaire aux notifications officielles

Même si le contenu du message est suspect, ces éléments peuvent convaincre certains destinataires que l’e‑mail est fiable.

Ce que rapportent les chercheurs et les organisations anti‑spam

Des enquêtes menées par des journalistes et des chercheurs indiquent que cette utilisation abusive du système dure depuis plusieurs mois.

Les rapports mentionnent notamment :

• des e‑mails frauduleux provenant de l’adresse de notification Microsoft et reçus dans différents services de messagerie
• des thèmes de fraude comme de faux achats, des problèmes de facturation ou des demandes urgentes de support
• l’utilisation massive de tenants Microsoft 365 temporaires, créés puis abandonnés dans une stratégie dite « burn‑and‑churn »

Des spécialistes de la lutte contre le spam ont également critiqué la possibilité de personnaliser certains éléments des notifications automatiques. Selon eux, ce type de flexibilité peut transformer une infrastructure légitime en canal de distribution pour des campagnes de phishing si les contrôles sont insuffisants.

Au moment où ces incidents ont été documentés, Microsoft n’avait pas confirmé publiquement la cause technique exacte de ces abus.

Comment repérer un e‑mail Microsoft suspect

Comme l’adresse d’expéditeur peut être authentique, il faut analyser le contexte plutôt que se fier uniquement au champ « De ».

Signes d’alerte fréquents :

• une alerte d’achat ou de fraude que vous n’avez pas initiée
• un message demandant d’appeler immédiatement un numéro de support
• des liens invitant à résoudre un problème de facturation urgent
• un code de vérification pour une action que vous n’avez jamais demandée

Comment se protéger

Si vous recevez une notification Microsoft suspecte :

• ne cliquez pas sur les liens et n’appelez pas les numéros présents dans l’e‑mail
• ouvrez vous‑même le site officiel Microsoft dans votre navigateur
• vérifiez directement l’activité de votre compte
• signalez le message comme phishing dans votre client de messagerie
• si vous avez interagi avec l’e‑mail, changez votre mot de passe et examinez l’historique de connexion

Cette affaire illustre une évolution des cyberattaques : au lieu de créer de faux services, les attaquants exploitent de plus en plus l’infrastructure réelle de plateformes réputées pour rendre leurs campagnes plus crédibles.