Les abonnés Office 365, particuliers comme entreprises, disposent de plusieurs fonctions supplémentaires de sécurité, réunies sous la bannière ATP (Advanced Threat Protection). Parmi elles, les Safe Links.

Plutôt que d’afficher les vrais liens dans les emails, les serveurs de Microsoft les remplacent par des adresses maison. Cliquer sur l’un d’eux ouvrira le lien dans une zone protégée, l’entreprise s’assurant que rien de douteux n’est chargé. Si tout va bien, l’utilisateur voit le contenu s’afficher. Sinon, il reçoit un message d’avertissement.

Problème, il est possible – et même simple – de contourner ce mécanisme. Des pirates ont exploité une brèche dans le processus leur permettant d’ajouter des espaces sans chasse (zero-width spaces, ZWSP). Le moteur d’analyse d’Office 365 ne reconnaissait alors plus les adresses comme telles et manquait donc sa cible.

Découverte par la société de sécurité Avanan, la faille a été remontée à Microsoft le 10 novembre et a fait l’objet d’un travail commun. Le souci est réglé depuis le 9 janvier, mais a eu le temps d’être exploité pendant une durée inconnue.