Violation de sécurité Outlook 2026 : 4 000+ mots de passe volés via un module malveillant

Dans un incident de cybersécurité majeur exposant des vulnérabilités critiques dans l'écosystème des modules de Microsoft, plus de 4 000 utilisateurs d'Outlook ont vu leurs mots de passe et informations financières sensibles volés via un module piraté appelé AgreeTo. Découverte par des chercheurs en sécurité en février 2026, cette attaque inédite représente le premier module Outlook malveillant connu sur le Marketplace officiel de Microsoft et met en lumière des lacunes systémiques dans la surveillance des extensions tierces.

Ce qui s'est passé : L'attaque du module AgreeTo expliquée

La violation de sécurité a concerné un module Outlook nommé AgreeTo, développé à l'origine comme un outil légitime de planification de réunions permettant de fusionner les calendriers professionnels et personnels. Le module n'a pas été mis à jour depuis décembre 2022 avant d'être abandonné par son développeur. Lorsque le développeur a cessé ses activités, il n'a pas retiré le module du Marketplace de Microsoft et a laissé le nom de domaine associé expirer.

Cette négligence s'est avérée catastrophique. Des cybercriminels ont réclamé le domaine expiré (outlook-one.vercel.app) et ont transformé le module autrefois légitime en un outil de phishing sophistiqué. La version malveillante affichait de faux écrans de connexion Microsoft dans l'interface latérale d'Outlook, capturant les identifiants des utilisateurs et les envoyant aux attaquants via l'API Telegram Bot avant de rediriger les victimes vers les pages légitimes de connexion Microsoft.

Fonctionnement de l'attaque : Détails techniques

L'attaque a exploité plusieurs vulnérabilités critiques dans l'architecture des modules de Microsoft :

• Prise de contrôle de domaine : Les attaquants ont réclamé le sous-domaine Vercel abandonné listé dans le manifeste original du module
• Intégration de kit de phishing : Le domaine piraté servait de faux écrans de connexion Microsoft apparaissant dans l'interface de confiance d'Outlook
• Abus de permissions : Le module avait des permissions 'ReadWriteItem' accordées en 2022, lui permettant de lire et modifier les e-mails des utilisateurs
• Exfiltration de données : Les identifiants volés étaient automatiquement envoyés aux attaquants via des bots Telegram

Des chercheurs en sécurité de Koi Security ont découvert l'attaque et ont constaté que les données volées incluaient non seulement des mots de passe, mais aussi des numéros de carte de crédit, des codes CVV, des PIN et des réponses de sécurité bancaire utilisées pour l'authentification Interac e-Transfer.

Le problème structurel des modules Outlook

Cet incident expose des failles fondamentales dans le modèle de sécurité des modules de Microsoft. Contrairement aux logiciels traditionnels soumis à une surveillance continue, les modules Outlook ne sont examinés que lors de leur soumission initiale au Marketplace. Une fois approuvés, ils peuvent charger dynamiquement du contenu depuis des URL externes sans contrôle ultérieur.

'Cela représente une vulnérabilité critique de la chaîne d'approvisionnement où les modules Office récupèrent du contenu dynamiquement depuis les serveurs des développeurs sans surveillance continue,' a expliqué l'analyste en cybersécurité Mark Johnson. 'L'architecture permet à des domaines abandonnés d'être pris en charge et à des modules légitimes d'être transformés en logiciels malveillants.'

Le problème est particulièrement aigu car le processus de soumission de Microsoft ne nécessite que la soumission d'un manifeste XML avec une URL plutôt que du code réel pour examen. Cette vulnérabilité a été identifiée pour la première fois en 2019 mais reste non résolue dans l'architecture actuelle de Microsoft.

Impact et étendue de la violation

L'attaque AgreeToSteal (comme l'ont nommée les chercheurs) a touché plus de 4 000 utilisateurs d'Outlook dans le monde. Les données compromises incluent :

Les chercheurs ont découvert que les attaquants exploitent au moins 12 kits de phishing distincts imitant diverses marques, y compris des FAI canadiens, des banques et des fournisseurs de webmail, suggérant qu'il s'agissait d'une opération coordonnée plus large.

Réponse de Microsoft et actions des utilisateurs

Microsoft a retiré le module AgreeTo de son Marketplace suite à la découverte par les chercheurs en sécurité. Cependant, l'entreprise n'a pas annoncé de changements fondamentaux dans son architecture de surveillance des modules.

Pour les utilisateurs affectés, une action immédiate est requise :

1. Désinstaller le module AgreeTo : Le retirer immédiatement d'Outlook s'il a été installé après mai 2023
2. Changer les mots de passe : Réinitialiser les mots de passe pour tous les comptes Microsoft affectés
3. Activer l'authentification à deux facteurs : Ajouter une couche de sécurité supplémentaire à vos comptes
4. Surveiller les relevés financiers : Vérifier les transactions suspectes
5. Examiner l'activité du compte : Rechercher les accès ou modifications non autorisés

Implications plus larges pour la sécurité des entreprises

Cet incident a des implications significatives pour les stratégies de cybersécurité des entreprises, en particulier pour les organisations qui dépendent d'Outlook pour les communications professionnelles. L'attaque démontre comment les plateformes de confiance peuvent devenir des vecteurs pour des campagnes de phishing sophistiquées.

Les experts en sécurité recommandent que les organisations :

• Mettent en œuvre des politiques strictes d'approbation des modules
• Auditent régulièrement les modules installés pour détecter les extensions abandonnées ou non maintenues
• Éduquent les employés sur les risques des extensions tierces
• Envisagent d'utiliser des modules de sécurité de niveau entreprise comme Microsoft Purview

L'incident souligne également l'importance de la sécurité de la chaîne d'approvisionnement dans les écosystèmes logiciels, où les vulnérabilités des composants tiers peuvent compromettre des plateformes entières.

FAQ : Violation de sécurité des modules Outlook 2026

Qu'est-ce que l'attaque du module AgreeTo ?

L'attaque AgreeTo est un incident de cybersécurité où un module Outlook légitime a été piraté par des attaquants après son abandon par son développeur, le transformant en un outil de phishing qui a volé plus de 4 000 identifiants et données financières.

Combien d'utilisateurs ont été affectés ?

Plus de 4 000 utilisateurs d'Outlook ont vu leurs identifiants de compte Microsoft volés, avec des victimes supplémentaires probablement affectées par le vol de données financières incluant des numéros de carte de crédit et des informations bancaires.

Que doivent faire les utilisateurs affectés ?

Désinstaller immédiatement le module AgreeTo, changer tous les mots de passe affectés, activer l'authentification à deux facteurs, surveiller les comptes financiers pour toute activité suspecte et examiner les paramètres de sécurité du compte.

Microsoft corrige-t-il la vulnérabilité sous-jacente ?

Microsoft a retiré le module malveillant mais n'a pas annoncé de changements fondamentaux dans son architecture de surveillance des modules, que les chercheurs en sécurité ont critiquée comme inadéquate.

Comment puis-je me protéger contre des attaques similaires ?

Installez uniquement des modules de développeurs de confiance, examinez régulièrement les extensions installées, activez l'authentification à deux facteurs, utilisez des mots de passe forts uniques et soyez prudent face aux invites de connexion inattendues dans les applications.

Sources

The Hacker News : Premier module Outlook malveillant trouvé

Bleeping Computer : Module Outlook piraté pour voler 4 000 comptes

Malwarebytes : Module Outlook devient malveillant

Computer World : Module Outlook abandonné piraté