23.06.2026 - La semaine dernière, l’OFCS a enregistré une recrudescence de signalements concernant une arnaque dans laquelle de prétendus messages vocaux (« voicemails ») sont envoyés par courriel. Les auteurs de cette arnaque exploitent le design de services Microsoft connus afin d’attirer les victimes sur des sites de hameçonnage ou de les inciter à installer des logiciels malveillants.
Semaine 25 : De faux messages vocaux propagent des logiciels malveillants et ciblent les identifiants de connexion
De nombreux courriels frauduleux annonçant la réception d’un prétendu message vocal circulent actuellement. Envoyés par des escrocs, ces courriels ressemblent fortement, sur le plan visuel, aux notifications officielles de Microsoft 365 ou de OneDrive for Business. L’utilisation frauduleuse de logos familiers (tels que celui de Microsoft 365) incite souvent à agir sans réfléchir. Ces messages suggèrent aux destinataires qu’ils ont reçu un nouveau message vocal (« new voicemail »). Pour donner un air authentique à ces courriels, les escrocs inventent des détails tels que la date de réception présumée, le numéro de téléphone de l’expéditeur ainsi que la durée du message vocal. Dans un cas particulièrement effronté, l’objet « Avis de décès » a même été utilisé afin de faire naître chez le destinataire un sentiment d’urgence et une pression émotionnelle, et de le pousser ainsi à ouvrir le message sans réfléchir.
Une attaque, deux variantes
Dans la première variante d’attaque, les escrocs tentent d’inciter la victime à ouvrir un logiciel malveillant. Un fichier compressé, tel qu’une archive ZIP nommée « audio_Y6CEKNH8OE.zip », est alors directement joint au courriel. Les cybercriminels espèrent que les victimes ouvriront la pièce jointe pour écouter le soi-disant message. Or, toute personne qui décompresse et exécute ce fichier installe à son insu un logiciel malveillant (par exemple un « infostealer ») sur son système.
Dans la deuxième variante, les escrocs cherchent à s’emparer des mots de passe de leurs victimes. Le lien contenu dans le message vocal ou le fichier HTML joint au courriel redirige vers une page de connexion Microsoft falsifiée de manière professionnelle. Sur cette page de hameçonnage, la victime voit s’afficher un lecteur audio (« audio player ») avec une barre de progression. Pour écouter le prétendu message, les internautes doivent cliquer sur un bouton bleu portant la mention Écouter le message vocal en tant qu’invité (« play voicemail as guest »). Une fausse page de connexion s’affiche alors, visant à récupérer les identifiants Microsoft (adresse électronique et mot de passe) des victimes.
Du cas isolé à la chaîne d’attaques
Une attaque réussie se limite rarement au premier compte compromis. Les identifiants Microsoft 365 dérobés permettent aux escrocs d’accéder aux boîtes de messagerie électronique, à OneDrive, à SharePoint et à Teams, autrement dit, à une grande partie des communications internes d’une organisation. Dans un deuxième temps, des courriels de hameçonnage en chaîne sont souvent envoyés depuis la messagerie piratée à tous les contacts de la victime. Comme ceux-ci proviennent d’une adresse d’expéditeur familière et font souvent référence à des échanges de courriels antérieurs, le taux de réussite auprès des destinataires est nettement plus élevé qu’avec le hameçonnage classique.
Dans le même temps, les escrocs surveillent les relations professionnelles. Les messages interceptés leur permettent de reconstituer les projets en cours, les modalités de paiement et les hiérarchies internes, informations qu’ils exploitent ensuite pour mener des escroqueries ciblées visant les PDG ou des attaques de type « business e-mail compromise ». Une fausse demande de paiement, envoyée au bon moment depuis la véritable messagerie électronique d’un collaborateur ou d’une collaboratrice, est pratiquement impossible à détecter comme une fraude par le service comptable. En cas d’infection par un logiciel malveillant tel qu’un « infostealer », les identifiants, cookies et informations de portefeuille volés sont en outre revendus sur le darknet. Ils réapparaissent parfois seulement des semaines ou des mois plus tard, lors d’attaques ciblées ultérieures, ce qui complique leur rattachement à l’incident d’origine.
Recommandations
- Faites preuve de vigilance à l’égard des pièces jointes : n’ouvrez jamais de pièces jointes ZIP inattendues. Les véritables messages vocaux sont généralement envoyés sous forme de fichiers audio (tels que .wav ou .mp3) et non sous forme d’archives ZIP.
- Ne cliquez pas sur les liens ou boutons intégrés lorsque vous recevez des notifications inattendues.
- Ne saisissez jamais vos identifiants Microsoft ni aucun autre identifiant sur des pages auxquelles vous avez accédé via un lien figurant dans un courriel.
- Si vous utilisez des services Microsoft (tels que Teams) au sein de votre entreprise, vérifiez toujours les messages vocaux reçus directement dans l’application officielle et non par le biais d’une notification reçue par courriel.
Statistiques et chiffres actuels
Les annonces de la dernière semaine selon les catégories sont publiées sous:
Dernière modification 23.06.2026
