Les hackers s'attaquent aux plateformes de visioconférence en diffusant de faux logiciels

Un lien de réunion arrive par courriel un lundi matin. L'expéditeur ressemble à un client, l'objet mentionne un point de trente minutes, le bouton bleu affiche le nom d'un service de visioconférence connu. On clique sans réfléchir, parce qu'on clique sur ce genre de lien quinze fois par semaine. C'est exactement sur cette habitude que reposent la plupart des attaques qui visent aujourd'hui les outils de réunion en ligne.

Depuis que le travail hybride s'est installé, Zoom, Teams, Google Meet et leurs concurrents sont devenus des passages obligés. Un salarié de bureau y passe facilement dix à quinze heures par semaine. Les attaquants ne s'intéressent pas à ces outils par goût de la technique : ils s'y intéressent parce que le réflexe de méfiance y est presque nul. Personne ne relit l'URL d'un lien de réunion. Personne ne se demande si la fenêtre qui réclame une mise à jour du client de visio est bien celle du logiciel.

Cet article décrit ce que subit la victime, et rien d'autre. Aucun mode opératoire, aucune recette : uniquement ce que vous verrez passer, et ce qui suffit à ne pas tomber dedans.

Le faux logiciel, la vieille recette qui marche toujours

Le scénario le plus courant reste le téléchargement d'un installeur qui n'en est pas un. La cible cherche à rejoindre une réunion, tombe sur une page qui ressemble au site officiel, et se voit proposer de télécharger le client de bureau. Le fichier s'installe, parfois il ouvre même une vraie fenêtre de visioconférence pour ne pas éveiller les soupçons, et dépose au passage un programme qui restera actif après la réunion.

Ce que ça donne côté victime : un ordinateur qui ralentit sans raison, des sessions ouvertes ailleurs, des mots de passe enregistrés dans le navigateur qui se retrouvent utilisés sur d'autres services, parfois des messages envoyés depuis votre compte à vos propres contacts. Le vol d'identifiants est de loin le but le plus fréquent, devant le chiffrement des fichiers.

La variante la plus pénible est celle de la fausse mise à jour. Une fenêtre surgit en pleine réunion, annonce que votre client de visio est obsolète, propose un correctif. La pression du moment fait le reste : personne n'a envie de faire attendre huit collègues pour vérifier une signature de fichier.

L'invitation piégée, ou le hameçonnage version calendrier

Le deuxième mécanisme n'installe rien du tout. Il vous emmène sur une page de connexion qui imite celle de votre entreprise ou de votre fournisseur de messagerie. Vous entrez votre adresse, votre mot de passe, parfois même le code à six chiffres de votre application d'authentification, et vous atterrissez sur une page d'erreur banale. Rien ne semble s'être passé. En réalité, la session vient de changer de mains.

Ce type de message se reconnaît à quelques détails, pas toujours grossiers. Une invitation qui arrive sans être dans votre agenda alors que votre organisation synchronise tout. Un objet vague du type « point rapide » sans nom de projet. Un expéditeur dont le nom affiché est correct mais dont l'adresse réelle, une fois dépliée, tient du charabia. Et surtout un motif d'urgence : réunion qui commence dans cinq minutes, document à valider avant la fin de journée.

Une remarque de terrain, que j'assume comme un avis plutôt que comme une vérité générale : les invitations frauduleuses les plus efficaces ne sont plus truffées de fautes d'orthographe. Le vieux conseil « méfiez-vous des messages mal écrits » a beaucoup vieilli. Le tri se fait maintenant sur le contexte, pas sur la grammaire.

La réunion ouverte à tous les vents

Il existe un troisième cas, moins spectaculaire mais très banal : la réunion dans laquelle entre quelqu'un qui n'aurait pas dû. Ce n'est pas du piratage, c'est de la négligence de configuration. Un lien permanent réutilisé pendant des mois, publié sur une page publique ou collé dans un fil de discussion, finit par circuler. Sans salle d'attente ni code d'accès, la porte reste ouverte.

Les conséquences vont du simple trouble-fête à l'écoute silencieuse d'une réunion commerciale ou d'un comité de direction. Le second cas ne fait pas de bruit, et c'est bien le problème : personne ne remarque un participant muet dont le nom ressemble à celui d'un collègue.

Ce qui protège vraiment, et ce qui rassure sans protéger

L'antivirus fait partie de la seconde catégorie plus souvent qu'on ne l'admet. Il attrape les menaces connues, il ne fait rien contre une page de connexion qui vous demande poliment votre mot de passe. La protection la plus rentable reste l'authentification à double facteur, et de préférence pas celle par SMS. Une clé physique ou une application dédiée résiste à des scénarios où le code envoyé par texto ne résiste pas.

Le gestionnaire de mots de passe joue un rôle qu'on sous-estime. Son intérêt principal n'est pas de retenir vos mots de passe : c'est qu'il refuse de remplir un formulaire sur un domaine qui ne correspond pas à celui qu'il a enregistré. Quand votre gestionnaire ne propose rien sur une page de connexion habituelle, ce silence est un signal. Écoutez-le.

Le reste tient à des habitudes ennuyeuses mais efficaces. Installer les applications depuis le magasin du système ou le site officiel tapé à la main, jamais depuis un lien reçu. Garder le système et le navigateur à jour, ce qui ferme la porte à la plupart des failles réutilisées. Séparer le compte administrateur du compte quotidien sur un poste de travail. Et prévoir une sauvegarde qui n'est pas branchée en permanence sur la machine, parce qu'une sauvegarde connectée en continu subit le même sort que le reste.

Comment reconnaître les signaux, sans devenir paranoïaque

Voici les indices qui méritent qu'on s'arrête trente secondes, classés par fréquence dans ce que rapportent les utilisateurs :

• Un lien de réunion reçu d'un contact avec qui vous n'aviez aucun échange en cours.
• Une demande de saisie d'identifiants alors que votre session était déjà ouverte il y a une heure.
• Une page de connexion sur un domaine légèrement différent de celui que vous connaissez, avec un mot en plus ou un tiret là où il n'y en avait pas.
• Un fichier joint à une invitation, quel que soit son format. Une invitation de réunion n'a aucune raison de contenir un exécutable.
• Une fenêtre de mise à jour qui apparaît au pire moment.

Le doute se lève toujours de la même manière, et c'est la seule règle qui vaut : on ne vérifie jamais un lien suspect en cliquant dessus. On appelle la personne, on ouvre l'agenda soi-même, on tape l'adresse du service dans la barre du navigateur. Trente secondes de friction contre plusieurs jours de remise en état.

Le vrai sujet est organisationnel

Dans une entreprise, la sensibilisation par diaporama annuel ne produit à peu près rien. Ce qui fonctionne tient en deux choses : une règle simple que tout le monde connaît par cœur, du type « aucune installation logicielle en dehors du catalogue interne », et un canal de signalement sans conséquence. Tant qu'un salarié craint d'être réprimandé pour avoir cliqué, il se tait, et le délai de détection passe de deux heures à deux semaines.

Pour un indépendant ou un particulier, la logique est la même en plus petit : un gestionnaire de mots de passe, la double authentification sur la messagerie principale, et l'habitude de ne jamais installer un logiciel depuis un lien reçu. Ce n'est pas glamour, ça ne coûte presque rien, et ça retire aux attaquants la plus grande part de ce sur quoi ils comptent : notre empressement.