Après la panne d’Outlook, de faux mails Microsoft cherchent à voler des identifiants

Le samedi 14 novembre, Microsoft Threat Intelligence a signalé une campagne de phishing qui profite de la panne récente d’Outlook et de Microsoft 365. Les faux courriels, présentés comme des alertes de Microsoft, prétendent que des messages retenus vont être supprimés si leur destinataire ne clique pas pour les restaurer. La campagne pourrait viser à récupérer des identifiants, selon les informations rapportées par Clubic (ouvre clubic.com dans un nouvel onglet)Aller vers clubic.com.

Une menace de suppression sous 24 heures

Les messages affirment que la distribution de courriels a échoué pendant la panne du 12 novembre. Dans l’exemple publié par Microsoft, quatre messages seraient bloqués. Un grand bouton jaune invite à les « restaurer » ; sans action, ils seraient supprimés sous 24 heures.

Pour rendre cette histoire crédible, les fraudeurs reprennent des éléments exacts de l’incident. Le courriel cite le numéro EX1550543 et mentionne Outlook, Teams, SharePoint et Copilot, des services touchés dans plusieurs régions. Son objet suit un format « Outage » accompagné d’un code de six caractères. Le nom de l’expéditeur associe un préfixe lié à l’organisation visée à « Outage Notification » ou « Service Health ». Logo Microsoft, mention de copyright et formule « ne pas répondre » complètent l’imitation.

Les indices qui trahissent le faux message

Les expéditeurs utilisent trois noms de domaine sans rapport avec Microsoft. Le bouton contient un lien personnalisé pour chaque destinataire, ce qui permet aux opérateurs de repérer les clics. Le lien passe d’abord par SendGrid, un service d’envoi d’e-mails également utilisé par des entreprises légitimes, puis redirige vers un site externe.

Un autre indice concerne l’urgence annoncée. D’après Clubic, Microsoft n’a pas parlé de suppression de messages dans ses bulletins pendant la panne. L’entreprise aurait au contraire prolongé à 48 heures le délai avant expiration d’un courriel retardé. La menace d’une suppression sous 24 heures contredit donc les consignes communiquées pendant l’incident.

Repérés dès le vendredi 13 novembre, ces courriels ont visé des organisations de plusieurs secteurs aux États-Unis. Microsoft estime que l’objectif pourrait être le vol d’identifiants. L’éditeur n’a toutefois pas confirmé que des mots de passe avaient été dérobés ni qu’un logiciel malveillant avait été envoyé.

Vérifier l’état du service sans cliquer

Microsoft recommande de consulter l’état de la panne dans le centre d’administration Microsoft 365, géré par le service informatique de l’entreprise. Les particuliers peuvent vérifier la page publique d’état des services. En cas de doute, il vaut mieux transférer le courriel au service informatique plutôt que d’utiliser son bouton.

Une personne qui a cliqué, et surtout saisi son mot de passe, devrait prévenir son équipe informatique et changer ses identifiants. Pour les entreprises, Microsoft conseille aussi de vérifier les réglages Safe Links, qui analysent les liens au clic, et de rechercher les messages et clics suspects dans les outils Defender. La panne, apparue jeudi en fin d’après-midi et ressentie dans 74 pays, était presque résorbée au moment du signalement.