// CLUBIC — SALUTE
Des milliers d'e-mails piégés par la faille Direct Send, une fonctionnalité de Microsoft 365 qui facilite l'usurption
Un e-mail signé « RH » ou « comptabilité » peut être un piège parfait de sécurité informatique, sans mot de passe volé ni compte piraté. Une faille méconnue de Microsoft 365, baptisée Direct Send, vient d'être révélée par KnowBe4.
Une fonctionnalité mais non moins redoutable agite le monde de la cybersécurité. Baptisée Direct Send, elle permet aux pirates d'usurper des adresses e-mail internes sur Microsoft 365 à grande échelle, sans jamais pirater le moindre compte. Entre juillet et août 2026, les chercheurs de KnowBe4 Threat Labs, qui nous livrent cette information en exclusivité, ont recensé près de 30 000 courriers électroniques frauduleux exploitant cette technique, calés avec une précision presque administrative sur les horaires de bureau. Derrière des expéditeurs aux noms passe-partout comme « hr » ou « no-reply », les attaquants glissent de fausses factures, de faux appels manqués ou de faux partages de fichiers. Le tout sans jamais toucher à un mot de passe, ni déclencher la moindre alerte visible côté utilisateur.
Direct Send est une fonctionnalité on ne peut plus discrète de Microsoft 365, pensée à l'origine pour des équipements qui n'ont pas de boîte mail à eux, on pense par exemple à une imprimante réseau, un scanner ou une vieille application interne, aucun n'ayant besoin d'un compte dédié pour envoyer un e-mail. Pour leur simplifier la vie, Exchange Online laisse ouvert, par défaut, un point d'entrée public. Une simplicité de configuration qui, sans le vouloir, tend une perche idéale aux cybercriminels.
Sur les deux mois d'observation (juillet et août), KnowBe4 Threat Labs nous explique avoir dénombré 29 785 tentatives d'usurpation confirmées, toutes passées par cette faille Direct Send. Il y a une vraie régularité, puisqu'entre 22 000 et 32 000 e-mails piégés circulaient chaque semaine du lundi au vendredi, contre à peine 1 500 à 2 000 le samedi et le dimanche, comme si les attaquants calaient volontairement leur activité sur de vraies heures de bureau pour mieux se fondre dans le trafic habituel, et avoir plus de chance(s) de faire mouche. Le pic a été atteint les 3 et 4 août, avec plus de 20 000 messages frauduleux envoyés en une seule journée, à chaque fois.
Un seul envoi a même réussi à atteindre 900 destinataires en une fois, preuve que l'opération pouvait aussi viser très large. Plus inquiétant encore : dans 4 023 cas, l'adresse affichée n'était qu'une façade, puisque l'option « répondre » renvoyait en réalité vers un tout autre domaine, contrôlé par l'attaquant. Un employé pensait donc répondre à un collègue, alors que son message partait directement dans la boîte du pirate. Environ 35 % de ces e-mails contenaient en plus une pièce jointe, presque systématiquement piégée. Et pour brouiller les pistes, les attaquants changeaient régulièrement de prestataire d'hébergement pour envoyer leurs messages, Oracle Cloud arrivant en tête de ceux utilisés le plus souvent.
Sur le terrain, l'attaque prend plusieurs visages, tous dessinés pour ne pas éveiller les soupçons. Le premier consiste à se faire passer pour le service achats ou la finance et à réclamer l'ouverture urgente d'un document : le lien mène vers une fausse page de connexion Microsoft, calquée sur la vraie, où la victime tape elle-même son identifiant et son mot de passe sans se douter qu'ils atterrissent directement chez le pirate. Parmi les autres variantes, il y a une notification qui imite une messagerie vocale interne, jusqu'au numéro de l'appelant et à la durée de l'appel, qui est censée faire croire à un vrai coup de fil manqué pour pousser au clic avant même d'avoir réfléchi.
Le troisième scénario est directement inspiré des classiques de la fraude par e-mail professionnel, ou BEC (Business Email Compromise). On parle ici d'un message qui imite la comptabilité pour réclamer le paiement d'une facture ou la validation d'un virement, tout en ayant discrètement remplacé l'adresse de réponse par celle de l'attaquant, de sorte que la moindre q