Phishing : Microsoft décrit un T3 2026 contrasté

Microsoft a recensé environ 7,3 milliards de menaces de phishing par courriel entre juillet et septembre 2026. En septembre, le total a frôlé les 3 milliards, soit une hausse de 41 % par rapport à août. Mais les méthodes n’ont pas toutes suivi la même trajectoire : les attaques par QR code ont reculé, tandis que celles protégées par un CAPTCHA ont repris. Ces chiffres viennent de la télémétrie de Microsoft, dans son bilan publié le 5 novembre.

Une hausse du total ne décrit pas, à elle seule, l’évolution de chaque méthode de phishing.

Les attaques par QR code ont reculé, celles avec CAPTCHA ont repris

Microsoft a comptabilisé environ 12,1 millions d’attaques par QR code au troisième trimestre, soit 67 % de moins qu’au deuxième trimestre. En septembre, leur volume était inférieur de 86 % au pic de mars. Les pièces jointes PDF représentaient 78 % de ces attaques en juillet et en août, puis 61 % en septembre ; les QR codes intégrés directement aux courriels sont passés de 5 % à 12 % sur la même période.

Le phishing avec CAPTCHA a évolué différemment. Microsoft en a recensé 3,1 millions d’attaques en septembre, près du double du creux de juillet. Les fichiers SVG représentaient 65 % de cette activité en août, puis 49 % en septembre. La hausse générale des détections ne résume donc pas les mouvements propres à chaque technique.

Deux campagnes ont emprunté des chemins distincts

Les 19 et 20 août, Microsoft Defender Research a observé une campagne de fausses notifications de révision salariale visant plus de 10 000 utilisateurs dans plus de 4 800 organisations, principalement aux États-Unis. Les organisations de services professionnels, notamment juridiques, représentaient 72,1 % des cibles visées. Un document Word contenait un QR code menant à une fausse page de connexion OneDrive. Celle-ci fournissait un code d’appareil et renvoyait vers le véritable portail de connexion de Microsoft.

Selon Microsoft, si une personne saisissait ce code et achevait la connexion, l’attaquant pouvait obtenir un jeton de session valide sans que la personne lui communique son mot de passe ni relance l’authentification multifacteur. La campagne décrite ne permet pas, à elle seule, de conclure que les personnes ciblées ont suivi ces étapes.

Le 21 septembre, une autre campagne a visé plus de 56 000 utilisateurs dans plus de 8 100 organisations. Les messages évoquaient une commande d’achat dans 63 % des cas et la paie dans 37 %. Microsoft a indiqué que la Colombie représentait 15 % des destinataires visés, les États-Unis et le Mexique 12 % chacun, le Chili 11 % et l’Espagne 8 %.

Les deux leurres utilisaient des pièces jointes différentes. Dans la branche « commande », une archive RAR déguisée en document PDF contenait un téléchargeur JavaScript qui récupérait un fichier PowerShell associé par Microsoft à Agent Tesla. La branche « paie » utilisait une autre archive RAR, avec un exécutable dissimulé sous une extension évoquant un fichier XML. Microsoft a relié les deux chaînes à la diffusion d’Agent Tesla. Ces observations décrivent la campagne, pas une infection confirmée des destinataires.

Ce que les détections permettent de dire

Les 7,3 milliards correspondent aux menaces détectées par Microsoft, et non à un décompte de courriels ouverts ou de comptes compromis. La même prudence vaut pour les 141 000 tentatives d’appels malveillants dans Microsoft Teams recensées au trimestre : elles incluaient des appels sans réponse ou rejetés. Dans l’échantillon observé, les identités affichées sous un nom de personne ordinaire sont passées de 46 % en juillet à 88 % en septembre ; les noms se présentant explicitement comme ceux d’un service d’assistance ont chuté de 17 % à 2 %.

Microsoft a également comptabilisé environ 129 millions de messages usurpant les domaines d’expéditeurs de services professionnels suivis dans son analyse. En septembre, des dérogations aux protections concernaient 63 % des messages pour lesquels un résultat de sécurité avait été enregistré, principalement au niveau des organisations. Pour les attaques par pièce jointe, Microsoft estime que 94 à 96 % conduisaient vers des sites de phishing ou affichaient une fausse page de connexion ; le vol d’identifiants constituait le risque dominant.

Les mesures conseillées par Microsoft comprennent la vérification des paramètres Exchange et Defender, l’usage de Safe Links et Safe Attachments, la suppression des messages malveillants avec ZAP, ainsi que des méthodes d’authentification sans mot de passe ou multifacteur. L’entreprise recommande aussi de contrôler les appels externes dans Teams et d’examiner puis de supprimer les messages suspects.