Accès externe Teams : quand la fédération ouverte devient un canal de phishing
Par défaut, un utilisateur Teams peut discuter avec n'importe quelle organisation externe. Ce confort a un revers : des attaquants exploitent ce canal pour contacter directement vos collaborateurs en se faisant passer pour le support informatique. Quelques réglages suffisent pour réduire fortement cette exposition.
Accès externe et accès invité : deux mécanismes distincts
On confond souvent les deux, alors qu'ils n'ont ni le même périmètre ni les mêmes réglages.
| Accès externe (fédération) | Accès invité | |
|---|---|---|
| Principe | Discussion et appels avec des utilisateurs d'autres tenants | Compte invité (B2B) ajouté à votre annuaire |
| Accès aux équipes et fichiers | Non | Oui, selon les autorisations |
| Où le configurer | Centre d'administration Teams, « Accès externe » | Entra ID et paramètres invités de Teams |
L'accès externe ne donne accès à aucune donnée, mais il ouvre une conversation directe, sans filtrage comparable à celui de la messagerie.
Le risque de la fédération ouverte
Dans sa configuration par défaut, l'accès externe autorise tous les domaines. Un attaquant n'a qu'à créer un tenant Microsoft 365, lui donner un nom crédible (« Support IT », « Helpdesk Sécurité ») et envoyer un message Teams à vos utilisateurs. Des campagnes publiquement documentées ont utilisé ce scénario pour obtenir des identifiants, faire approuver des demandes MFA ou convaincre la victime d'installer un outil de prise en main à distance. Le message arrive dans un outil perçu comme interne, ce qui abaisse la vigilance.
Passer à une liste de domaines autorisés
La mesure la plus efficace consiste à n'autoriser que les domaines avec lesquels vous collaborez réellement. Pour construire cette liste :
- Recensez les partenaires, clients et fournisseurs qui utilisent Teams avec vous.
- Consultez les journaux d'activité pour identifier les échanges externes existants.
- Basculez en mode liste d'autorisation, puis prévoyez un processus simple pour ajouter un domaine à la demande.
Si une liste fermée n'est pas envisageable, bloquez au minimum les domaines identifiés comme malveillants et sensibilisez les utilisateurs à la bannière signalant un interlocuteur externe.
Bloquer les comptes Teams non gérés
Un réglage distinct contrôle la communication avec les comptes Teams non gérés, c'est-à-dire les comptes personnels Microsoft qui n'appartiennent à aucune organisation. Sauf besoin métier explicite, désactivez-la. Si elle doit rester active, empêchez au moins ces comptes d'initier eux-mêmes une conversation avec vos utilisateurs.
Réunions et participation anonyme
La participation anonyme aux réunions est un autre vecteur à maîtriser. Selon vos usages, vous pouvez la désactiver globalement ou via des stratégies de réunion ciblées, et configurer la salle d'attente pour que seuls les membres de l'organisation la contournent. Les réunions publiques (webinaires, événements) peuvent faire l'objet d'une stratégie dédiée, attribuée aux seuls organisateurs concernés.
Attention. Restreindre l'accès externe ne dispense pas de sensibiliser les utilisateurs : un domaine partenaire autorisé peut lui-même être compromis. Le support informatique ne devrait jamais demander un code MFA ou l'installation d'un outil via un message Teams.
Ce qu'un audit vérifie
- Le mode de fédération : ouvert, liste d'autorisation ou liste de blocage.
- La communication avec les comptes Teams non gérés.
- Les paramètres de participation anonyme et de salle d'attente.
- La cohérence entre accès externe et paramètres d'accès invité.