Un bug permet d'usurper l'identité de n'importe quel employé de Microsoft

Un chercheur a découvert un bug qui permet à n'importe qui d'utiliser les adresses e-mail des employés de Microsoft. Malgré le risque d'hameçonnage, le bug n'a toujours pas été corrigé par l'entreprise.

Un bug qui pourrait coûter cher à Microsoft. Selon les informations de Techcrunch, un chercheur a découvert un bug qui permet à n'importe qui d'usurper l'identité des employés de l'entreprise.

Le 14 juin dernier, Vsevolod Kokorin a partagé ses récentes découvertes sur X, ex-Twitter. Le chercheur a en effet découvert qu'il existait un bug concernant la messagerie des employés de Microsoft qui permet d'usurper les adresses e-mail des salariés. N'importe qui peut donc envoyer un message via l'adresse mail officielle de l'entreprise.

Un risque de phishing

De quoi favoriser les tentatives de phishing (hameçonnage), cette pratique malveillante qui consiste à récupérer des informations personnelles sur la victime, souvent en se faisant passer pour une entreprise, pour lui dérober de l'argent.

Selon Vsevolod Kokorin, le bug permet uniquement aux utilisateurs d'envoyer des e-mails vers des comptes Outlook. Ce qui représente pas moins de 400 millions d'utilisateurs dans le monde.

Le problème a été signalé à Microsoft, qui n'a pas donné suite au chercheur. Depuis, le bug n'a toujours pas été corrigé, malgré les nombreuses relances de Vsevolod Kokorin.

"Je ne m'attendais pas à ce que mon message suscite une telle réaction. Je voulais juste partager ma frustration parce que cette situation me rendait triste", a déclaré le chercheur à Techcrunch.

"Beaucoup de gens pensent que je veux de l’argent. En réalité, je souhaite simplement que les entreprises n’ignorent pas les chercheurs et soient plus amicales lorsque vous essayez de les aider."

De nombreux piratages

Ce n'est pas la première fois que Microsoft rencontre des problèmes de sécurité. La semaine dernière, Brad Smith, le président de Microsoft, a été auditionné par la Chambre des représentants aux Etats-Unis. En cause, l'intrusion d'un groupe de pirates chinois dans les serveurs de Microsoft, qui a permis d'accéder aux courriels de plusieurs hauts fonctionnaires américains en 2023.

En janvier dernier, des mails de cadres de Microsoft avaient été piratés par un groupe de hackers russes. Des codes source et des documents sensibles avaient été subtilisés.

Depuis, Brad Smith a assuré "redoubler d'efforts" pour donner la priorité à la cybersécurité au sein de Microsoft.