Des escrocs envoient des e-mails de phishing depuis une adresse Microsoft officielle

Viernes 22 Mayo 2026 - 08:32

Des acteurs malveillants ont exploité une faille dans les systèmes de notification de Microsoft pour envoyer des e-mails de phishing à partir d’une adresse interne légitime utilisée pour les alertes de sécurité et les codes d’authentification. L’adresse msonlineservicesteam@microsoftonline.com, normalement utilisée pour transmettre des codes de validation à deux facteurs et des notifications de compte, est détournée pour tromper les utilisateurs en donnant une apparence officielle aux messages frauduleux.

Les attaques reposent sur la création de comptes Microsoft ou l’exploitation d’accès existants afin de déclencher l’envoi automatique d’e-mails système contenant du contenu malveillant. Certains messages imitent des alertes de sécurité signalant des transactions suspectes, tandis que d’autres contiennent des liens intégrés redirigeant vers des pages externes contrôlées par les attaquants. L’utilisation d’une infrastructure légitime augmente le taux de réussite des campagnes en contournant plusieurs filtres de détection.

Des analyses en cybersécurité ont également mis en évidence des techniques similaires impliquant la plateforme d’identité de Microsoft, où des paramètres de configuration de locataire sont modifiés pour injecter du texte frauduleux dans des notifications automatisées. Cette méthode permet de transformer des messages système authentiques en vecteurs de phishing, avec des objets d’e-mail falsifiés et des contenus trompeurs liés notamment à de fausses transactions ou à des opérations en cryptomonnaie.

Des organisations spécialisées dans la surveillance du spam ont signalé que ces abus persistent depuis plusieurs mois et ont alerté Microsoft sur la gravité de la situation. Les chercheurs estiment que la personnalisation excessive des notifications automatisées constitue une faille structurelle exploitée par les cybercriminels. Microsoft n’a pas communiqué de mesures détaillées pour résoudre le problème. Les experts recommandent aux utilisateurs de vérifier toute activité suspecte directement sur les plateformes officielles et d’éviter de cliquer sur les liens contenus dans des e-mails inattendus.