Arnaque au QR code dans Teams : ce qui change et comment s'y préparer

Un contact externe envoie un message dans Teams : « Voici le QR code pour confirmer votre accès. » Le téléphone est déjà en main, l'appareil photo s'ouvre en une seconde et, quand la personne s'en rend compte, elle a saisi son mot de passe professionnel sur une fausse page. L'arnaque au QR code, déjà courante par e-mail, a atteint les outils de travail. Et Microsoft Teams a commencé à réagir.

Ce qui change dans Teams

Les QR codes des contacts externes arrivent masqués. Les images contenant un QR code envoyées par des utilisateurs extérieurs à votre organisation sont désormais masquées par défaut dans les conversations. Pour les voir ou les scanner, l'utilisateur doit révéler l'image de manière volontaire. Selon Microsoft, la fonctionnalité est en cours de déploiement depuis octobre 2026 dans Teams pour ordinateur, web, Mac, Android et iOS.

Détection des QR codes malveillants (prévue pour novembre 2026). Teams analysera la destination du QR code et appliquera une protection lorsque celle-ci est malveillante, étendant aux QR codes la protection qui existe déjà pour les liens.

Détection de l'hameçonnage par IA dans les premières conversations externes (prévue pour novembre 2026). Microsoft a également annoncé une détection de l'hameçonnage qui utilise le contexte de la conversation pour identifier les arnaques et l'ingénierie sociale, surtout lorsqu'un contact externe lance la première conversation. En cas d'activité suspecte, l'utilisateur peut voir un avertissement.

Pourquoi le QR code est devenu un outil d'arnaque

Le QR code cache sa destination : personne ne peut savoir où il mène simplement en le regardant. De plus, il est généralement scanné avec le téléphone personnel, qui échappe souvent aux protections de l'entreprise. C'est la combinaison idéale pour mener quelqu'un vers une fausse page de connexion.

L'étape supplémentaire consistant à « révéler » l'image semble anodine, mais elle casse justement le réflexe sur lequel compte l'escroc : agir vite, sans réfléchir.

Ce que votre entreprise peut faire dès maintenant

• Sensibilisez l'équipe : un QR code venant de l'extérieur mérite de l'attention, même dans Teams. En cas de doute, confirmez avec l'expéditeur par un autre canal.

• Traitez le QR code comme un lien : si la page demande un mot de passe, un code de vérification ou un paiement, méfiez-vous.

• Revoyez l'accès externe de Teams : définissez quels domaines et organisations peuvent échanger avec votre entreprise, et avec quelles autorisations.

• Activez l'authentification multifacteur pour tous : si un mot de passe fuit lors d'une arnaque, le second facteur réduit fortement le risque de prise de contrôle du compte.

• Protégez les téléphones qui accèdent aux données de l'entreprise : les appareils gérés appliquent aussi les politiques de sécurité sur le téléphone, là où le QR code est scanné.

Sources

Les informations de cet article proviennent de la Microsoft 365 Roadmap, éléments 570439 (protection des QR codes dans les messages), 576198 (détection des QR codes malveillants) et 575288 (détection de l'hameçonnage dans Teams), consultées le 21 octobre 2026. Les dates de la Roadmap sont des prévisions et peuvent changer.

Besoin d'aide ?

WRA IT aide les entreprises à configurer Microsoft 365 en toute sécurité : accès externe de Teams, authentification multifacteur, gestion des appareils et formation des équipes contre les arnaques. Contactez WRA IT.