Tout votre annuaire d’entreprise, en clair sur chaque poste

Pour résoudre les adresses hors ligne, le client Outlook classique télécharge et conserve en local une copie de l’annuaire global de l’entreprise. Présenté à SecSea 2026, ce retour d’expérience montre que ce fichier de cache, stocké dans le profil utilisateur et accessible sans le moindre privilège administrateur, expose l’intégralité de l’organisation : comptes, matricules, listes de diffusion. Rien de spectaculaire dans la méthode, tout dans l’exposition silencieuse d’une donnée que personne ne surveille.

Septième volet de notre couverture de SecSea 2026. Un angle mort d’une banalité redoutable, qui concerne une grande partie des parcs Microsoft 365.

Ce que contient le fichier de cache

Le mécanisme de résolution hors ligne génère sur chaque poste un fichier binaire contenant tout le carnet d’adresses global. Sur une grande organisation, il peut atteindre plusieurs gigaoctets, un exemple cité dépassant 240 000 entrées. Et ce qu’on y trouve dépasse de loin de simples adresses e-mail :

• les comptes d’administration séparés, souvent reconnaissables à une convention de nommage ;
• les numéros de matricule internes ;
• les listes de diffusion, qui dessinent l’organigramme ;
• d’autres attributs d’annuaire, selon la configuration.

Un script simple convertit le binaire en format lisible. Aucune élévation de privilège, aucune exploitation : la donnée est là, dans le profil de l’utilisateur, sur un poste qui n’est peut-être même pas chiffré.

Pourquoi c’est un problème, même sans intrusion

Cette fuite ne donne pas d’accès en soi. Elle donne mieux, du point de vue d’un attaquant : la carte de l’organisation. Qui dirige quoi, qui administre quoi, comment sont nommés les comptes sensibles.

Avec l’arborescence et les listes d’un service, un attaquant construit un hameçonnage ciblé crédible, choisit ses victimes, et usurpe des identités internes par ressemblance de nom. La donnée exposée n’est pas la clé, c’est le plan du bâtiment.

C’est précisément le carburant des attaques par ingénierie sociale, celles qui ne forcent aucune serrure mais exploitent la confiance et la connaissance interne. Un poste perdu ou compromis, et tout l’annuaire part avec.

La remédiation, connue mais partielle

Deux niveaux de réponse ont été évoqués, et leur différence compte :

• Les réglages par stratégie désactivent la résolution hors ligne, mais n’effacent pas les fichiers déjà présents sur les postes. La suppression manuelle est contraignante et incomplète.
• La migration vers le nouvel Outlook est la remédiation la plus robuste : il repense le mécanisme de cache et ne stocke plus l’annuaire complet dans un fichier aussi facilement extractible.

Précision utile : le problème persiste tant qu’on utilise « Outlook classique » sous Microsoft 365. Il n’est pas lié à l’abonnement, mais au client.

Ce qu’on en retient chez Humanix

• Vos postes de travail stockent des données que vous croyez centralisées. L’annuaire vit sur le serveur, pensez-vous ; il vit aussi, en copie complète, sur chaque poste. La question à poser : qu’est-ce que chacune de vos machines contient en clair, et que se passe-t-il si l’une est volée ?
• Le chiffrement de poste n’est pas optionnel. Tant que ce fichier existe, un disque non chiffré suffit à livrer l’annuaire. C’est la mesure de base qui transforme un vol de matériel en non-événement.
• L’annuaire interne est une cible, pas une donnée anodine. Il arme l’hameçonnage ciblé qui vise vos dirigeants et vos comptes d’administration. Le protéger relève du même réflexe que se méfier d’une demande qui invoque une autorité : réduire ce qu’un attaquant peut apprendre de vous.
• Regarder là où personne ne regarde, c’est le cœur d’un audit utile. Un fichier de cache banal en dit parfois plus qu’une vulnérabilité. La preuve avant le verdict.

Note. Compte-rendu, à visée pédagogique, d’un entretien de SecSea 2026 sur l’exposition de l’annuaire d’entreprise via le cache local d’Outlook classique. Nous décrivons le risque et sa remédiation, sans détail d’outil. Septième volet de notre couverture de l’événement. Un parc Microsoft 365 dont vous voulez mesurer l’exposition ? Contactez-nous.