Phishing : après la panne Outlook, un faux e-mail menace de supprimer vos messages sous 24 heures

Microsoft Threat Intelligence, la cellule de l'éditeur chargée de traquer les cybermenaces, a détecté une campagne de phishing qui imite ses alertes officielles. Les faux e-mails affirment que des messages sont restés bloqués pendant la panne et menacent de les supprimer sous 24 heures si l'utilisateur ne clique pas sur un bouton de « restauration ».

Les premiers messages ont été repérés dès vendredi 13 novembre. Ils visent des organisations de plusieurs secteurs aux États-Unis, seul pays cité par Microsoft à ce stade. La panne elle-même, apparue jeudi en fin d'après-midi, avait touché Outlook, Teams, SharePoint et Copilot.

Un e-mail construit pour tromper

Le piège mélange du vrai et du faux. L'e-mail cite le numéro réel de l'incident chez Microsoft et rappelle correctement les services touchés par la panne. L'objet reprend un format proche des vraies notifications, « Outage » suivi d'un code de six caractères, et le nom de l'expéditeur imite celui d'une alerte interne de l'organisation visée.

Le lien caché derrière le bouton jaune est en réalité personnalisé pour chaque destinataire, ce qui permet aux pirates d'identifier qui a cliqué. Il transite d'abord par SendGrid, un service d'envoi d'e-mails en masse utilisé légitimement par de nombreuses entreprises, avant de renvoyer vers un site extérieur. Pour les TPE et PME, cela signifie qu'il est recommandé de surveiller, voire de bloquer temporairement, les clics vers les liens SendGrid suspects au niveau de leur passerelle de messagerie le temps que l'incident soit clarifié, plutôt que de se fier à la réputation habituellement légitime de ce service. Microsoft évoque un objectif de vol d'identifiants, sans confirmer à ce stade qu'un mot de passe ait déjà été dérobé.

Dans le même temps, Microsoft a publié une documentation technique sur une faille Outlook distincte, corrigée lors du Patch Tuesday de novembre. Elle n'a aucun lien avec cette campagne de phishing, mais elle illustre un autre type de risque touchant le même logiciel :

« Un attaquant non authentifié pourrait envoyer un fichier de message spécialement conçu et convaincre un utilisateur de l'ouvrir dans une version vulnérable de Microsoft Outlook », Microsoft, éditeur de Windows et Outlook.

Contrairement à l'e-mail frauduleux, qui pousse la victime à cliquer sur un bouton malveillant, ce mécanisme repose sur la manipulation d'un fichier ouvert directement dans Outlook, sans qu'un clic soit nécessaire. Le même Patch Tuesday a corrigé 1 235 failles de sécurité au total, dont une déjà exploitée par des pirates pour dérober des identifiants, selon 01net.

Un détail qui trahit l'arnaque

Pendant toute la durée de la panne, Microsoft n'a jamais évoqué de suppression de messages dans ses bulletins officiels. Un message qui presse d'agir sous 24 heures prend donc le contre-pied exact de la réalité.

Microsoft recommande de vérifier l'état d'un incident directement dans le centre d'administration Microsoft 365 pour les entreprises, ou sur la page publique d'état des services pour les particuliers. En cas de doute, le message doit être transféré au service informatique plutôt que cliqué. La panne avait déjà fait l'objet d'un article sur ses 74 pays touchés.

Des TPE et PME déjà très exposées

Cette campagne s'ajoute à une menace déjà élevée pour les petites structures. En France, 39 % des TPE et PME ont été confrontées à au moins un incident de cybersécurité au cours des douze derniers mois, le hameçonnage arrivant en tête des cas cités, selon le Baromètre France Num 2026. La peur du piratage ou de la perte de données touche désormais 53 % des dirigeants, contre 36 % en 2020.

Le piratage de compte reste la première menace signalée par les professionnels auprès de Cybermalveillance.gouv.fr, avec 21 % des parcours d'assistance réalisés en 2025, en hausse de 52 % sur un an. Les équipes de sécurité sont invitées par Microsoft à vérifier leurs réglages Safe Links, qui analysent les liens au moment du clic, et à repérer dans leurs outils Defender les salariés ayant interagi avec ces messages. Le sujet des attaques qui exploitent la vitesse des outils numériques recoupe les constats faits aux Assises de la cybersécurité à Monaco, où dirigeants et experts observaient une accélération des attaques automatisées.

Des banques avaient par ailleurs mis en garde leurs clients dès vendredi contre des arnaques surfant sur la même panne. Microsoft n'a pas précisé combien de destinataires ont reçu ces faux messages ni confirmé le nombre d'organisations touchées en dehors des États-Unis.

Ce que ça change pour votre entreprise

Une TPE ou une PME doit considérer tout e-mail évoquant une panne récente avec prudence, même s'il cite des informations exactes. Face à un message de ce type, la marche à suivre tient en quatre étapes :

1. Ne pas cliquer sur le bouton ou le lien, même s'il semble provenir d'une alerte officielle.
2. Vérifier l'état réel du service dans le centre d'administration Microsoft 365 ou sur la page publique d'état des services.
3. Transférer le message suspect au service informatique ou au prestataire en charge de la sécurité, plutôt que d'y répondre ou de le supprimer soi-même.
4. Vérifier que les réglages Safe Links sont bien activés pour bloquer les liens malveillants au moment du clic.

Former ses salariés à repérer un nom de domaine inhabituel reste, selon francenum.gouv.fr, l'une des mesures les plus efficaces face au hameçonnage, première cause d'incident cyber chez les petites structures.