Un e-mail signé « RH » ou « comptabilité » peut être un piège parfait de sécurité informatique, sans mot de passe volé ni compte piraté. Une faille méconnue de Microsoft 365, baptisée Direct Send, vient d'être révélée par KnowBe4.
Une fonctionnalité mais non moins redoutable agite le monde de la cybersécurité. Baptisée Direct Send, elle permet aux pirates d'usurper des adresses e-mail internes sur Microsoft 365 à grande échelle, sans jamais pirater le moindre compte. Entre juillet et août 2026, les chercheurs de KnowBe4 Threat Labs, qui nous livrent cette information en exclusivité, ont recensé près de 30 000 courriers électroniques frauduleux exploitant cette technique, calés avec une précision presque administrative sur les horaires de bureau. Derrière des expéditeurs aux noms passe-partout comme « hr » ou « no-reply », les attaquants glissent de fausses factures, de faux appels manqués ou de faux partages de fichiers. Le tout sans jamais toucher à un mot de passe, ni déclencher la moindre alerte visible côté utilisateur.
Direct Send, une porte grande ouverte dans Microsoft 365 dévoilée
Direct Send est une fonctionnalité on ne peut plus discrète de Microsoft 365, pensée à l'origine pour des équipements qui n'ont pas de boîte mail à eux, on pense par exemple à une imprimante réseau, un scanner ou une vieille application interne, aucun n'ayant besoin d'un compte dédié pour envoyer un e-mail. Pour leur simplifier la vie, Exchange Online laisse ouvert, par défaut, un point d'entrée public. Une simplicité de configuration qui, sans le vouloir, tend une perche idéale aux cybercriminels.
Sur les deux mois d'observation (juillet et août), KnowBe4 Threat Labs nous explique avoir dénombré 29 785 tentatives d'usurpation confirmées, toutes passées par cette faille Direct Send. Il y a une vraie régularité, puisqu'entre 22 000 et 32 000 e-mails piégés circulaient chaque semaine du lundi au vendredi, contre à peine 1 500 à 2 000 le samedi et le dimanche, comme si les attaquants calaient volontairement leur activité sur de vraies heures de bureau pour mieux se fondre dans le trafic habituel, et avoir plus de chance(s) de faire mouche. Le pic a été atteint les 3 et 4 août, avec plus de 20 000 messages frauduleux envoyés en une seule journée, à chaque fois.
Un seul envoi a même réussi à atteindre 900 destinataires en une fois, preuve que l'opération pouvait aussi viser très large. Plus inquiétant encore : dans 4 023 cas, l'adresse affichée n'était qu'une façade, puisque l'option « répondre » renvoyait en réalité vers un tout autre domaine, contrôlé par l'attaquant. Un employé pensait donc répondre à un collègue, alors que son message partait directement dans la boîte du pirate. Environ 35 % de ces e-mails contenaient en plus une pièce jointe, presque systématiquement piégée. Et pour brouiller les pistes, les attaquants changeaient régulièrement de prestataire d'hébergement pour envoyer leurs messages, Oracle Cloud arrivant en tête de ceux utilisés le plus souvent.
De la fausse facture au faux lien OneDrive
Sur le terrain, l'attaque prend plusieurs visages, tous dessinés pour ne pas éveiller les soupçons. Le premier consiste à se faire passer pour le service achats ou la finance et à réclamer l'ouverture urgente d'un document : le lien mène vers une fausse page de connexion Microsoft, calquée sur la vraie, où la victime tape elle-même son identifiant et son mot de passe sans se douter qu'ils atterrissent directement chez le pirate. Parmi les autres variantes, il y a une notification qui imite une messagerie vocale interne, jusqu'au numéro de l'appelant et à la durée de l'appel, qui est censée faire croire à un vrai coup de fil manqué pour pousser au clic avant même d'avoir réfléchi.
Le troisième scénario est directement inspiré des classiques de la fraude par e-mail professionnel, ou BEC (Business Email Compromise). On parle ici d'un message qui imite la comptabilité pour réclamer le paiement d'une facture ou la validation d'un virement, tout en ayant discrètement remplacé l'adresse de réponse par celle de l'attaquant, de sorte que la moindre question de la victime lui parvienne directement à lui plutôt qu'au vrai collègue. Le montant indiqué, précis et cohérent avec une facture réelle, sert justement à rassurer et à pousser à valider sans trop de vérifications. KnowBe4 a d'ailleurs repéré, dans l'ensemble de sa base de données, des sujets de leurres tout aussi variés, jusqu'à de faux conseils en gestion de patrimoine, preuve que l'argument financier se décline sous toutes les formes possibles pour piéger.
Dernier tour de passe-passe enfin, un lien vers OneDrive ou SharePoint, en apparence tout à fait authentique puisqu'il pointe réellement vers un service Microsoft, ce qui lui permet de franchir plus facilement les filtres de sécurité habituels. Sauf que la page ainsi ouverte ne contient pas le document promis, mais un simple fichier raccourci Windows (.url) qui, une fois ouvert, redirige discrètement l'utilisateur vers un site contrôlé par l'attaquant, sans qu'il s'en rende compte. Le piège ne débute vraiment qu'après le clic, une fois le premier contrôle de sécurité déjà passé. Dans les quatre cas que nous avons pu évoquer, le ressort psychologique reste le même, à savoir qu'on fait davantage confiance à un message qui semble venir de chez soi. Un rappel utile, tant la simple correspondance du domaine affiché ne garantit en rien l'identité réelle de celui qui écrit.
DMARC, DKIM : les réglages qui auraient tout changé
Si ces e-mails passent, ce n'est pourtant pas faute de contrôles. Les systèmes d'authentification repèrent souvent l'anomalie, mais cela ne suffit pas à bloquer le message pour autant. En cause, une politique de sécurité nommée DMARC, réglée chez beaucoup d'entreprises en simple mode « surveillance » (p=none). Elle note bien que quelque chose cloche, mais laisse quand même le mail filer jusqu'à la boîte de réception. C'est en général la première étape d'un déploiement DMARC, censée précéder un réglage plus strict que beaucoup d'organisations ne mettent finalement jamais en place. S'y ajoute une autre faille de conception, Exchange Online, qui n'impose par défaut aucune restriction sur les adresses IP autorisées à écrire au nom du domaine de l'entreprise, ce qui laisse la porte grande ouverte à qui sait s'y engouffrer.
La bonne nouvelle, selon KnowBe4, c'est qu'aucune de ces failles ne réclame d'outil ou de budget supplémentaire. Il suffit de basculer DMARC en mode strict (p=reject), une bascule que l'intégration EasyDMARC de KnowBe4 Defend propose justement de piloter nativement, avec une visibilité SPF/DKIM/DMARC sans passer par un logiciel tiers ; de restreindre Direct Send aux seules IP des appareils qui en ont réellement besoin, de fermer la voie entièrement si elle ne sert à rien ; et d'activer DKIM sur les e-mails sortants. Un indice technique permet aussi de traquer ces intrusions a posteriori. Il s'agit de l'en-tête « X-MS-Exchange-Organization-AuthAs: Anonymous », apposé automatiquement par Exchange sur tout message passé par ce canal non authentifié.
L'histoire ne s'arrête pas au clic malheureux, c'est même là qu'elle prend une tout autre dimension. Une fois ses identifiants tapés sur la fausse page, la victime livre à l'attaquant les clés de sa propre boîte mail, parfois sans délai si une information technique liée à sa connexion est interceptée au passage. Le pirate n'a alors plus qu'à observer en silence son calendrier et ses habitudes de travail, avant de lancer une nouvelle attaque bien plus difficile à repérer, cette fois depuis un vrai compte, avec un vrai mot de passe, sans plus aucune trace du stratagème Direct Send initial. Un virement validé dans ce contexte peut filer en quelques heures vers un compte intermédiaire ouvert pour l'occasion, laissant ensuite l'entreprise gérer l'enquête technique, d'éventuelles obligations légales et le changement de tous les mots de passe concernés.
Le constat est réel : une fonctionnalité pensée pour une imprimante peut aujourd'hui piéger toute une entreprise. Alors méfiance !
