Depuis des mois, les fraudeurs profitent d’une faille qui leur permet d’envoyer des courriers indésirables à partir d’une adresse électronique interne de Microsoft généralement utilisée pour envoyer des alertes de compte légitimes.
On ne sait pas exactement comment les fraudeurs abusent du système, mais ils ont pu créer de nouveaux comptes Microsoft comme s’ils étaient de nouveaux clients et utiliser cet accès pour envoyer des e-mails provenant prétendument du géant de la technologie lui-même, faisant potentiellement croire aux gens que ces e-mails peuvent être authentiques.
Microsoft ne semble pas encore avoir maîtrisé le problème.
La semaine dernière, j’ai reçu plusieurs e-mails de structure similaire contenant des lignes d’objet et des liens Web vers des sites frauduleux de Microsoft sur différents comptes de messagerie. Ces e-mails grossièrement rédigés ont été envoyés depuis [email protected], un compte de messagerie que Microsoft utilise pour envoyer des notifications importantes aux utilisateurs, telles que des codes d’authentification à deux facteurs et d’autres alertes critiques concernant leur compte en ligne.
Certaines lignes d’objet de ces e-mails ressemblent à des e-mails officiels qui alerteraient les utilisateurs en cas de transactions frauduleuses, tandis que d’autres e-mails prétendaient avoir une messagerie privée attendant le destinataire à une adresse Web mentionnée dans le corps de l’e-mail.
Dans un article publié mardi sur les réseaux sociaux, The Spamhaus Project, une organisation à but non lucratif anti-spam, a déclaré avoir également constaté que l’adresse e-mail de notification du compte Microsoft avait été utilisée de manière abusive pour envoyer du spam, et que cette activité remontait à « plusieurs mois ».
« Les systèmes de notification automatisés ne devraient pas permettre ce niveau de personnalisation », a écrit Spamhaus. L’organisation à but non lucratif a ajouté qu’elle avait informé Microsoft du problème.
Contacté par TechCrunch plus tôt cette semaine, Microsoft a reconnu notre enquête, mais n’a pas encore commenté ni indiqué si l’entreprise avait mis fin à l’abus de son courrier électronique de notification de compte.
Il s’agit du dernier d’une série d’incidents au cours desquels des pirates informatiques ou des escrocs ont abusé des systèmes de l’entreprise pour tromper des clients sans méfiance au cours des derniers mois. Plus tôt cette année, des pirates ont pénétré par effraction dans une plate-forme utilisée par la société de technologie financière Betterment pour envoyer des notifications frauduleuses censées tripler la valeur de toute crypto-monnaie envoyée par les utilisateurs – une arnaque largement connue utilisée pour voler la crypto-monnaie des gens.
En 2023, des pirates informatiques ont également abusé de l’accès à un compte de messagerie géré par Namecheap pour envoyer des e-mails de phishing visant à voler les informations d’identification des personnes.
D’autres utilisateurs commentant sur les réseaux sociaux affirment que les adresses e-mail d’autres sociétés sont également utilisées pour envoyer du spam, ce qui suggère que le problème ne se limite pas à Microsoft.
Lorsque vous achetez via des liens dans nos articles, nous pouvons gagner une petite commission. Cela n’affecte pas notre indépendance éditoriale.
