Un client vous appelle : il a reçu de votre part un mail étrange, avec un lien à ouvrir. Vous ne l'avez jamais écrit. Votre compte Microsoft 365 est probablement utilisé par quelqu'un d'autre. Chaque minute compte : l'attaquant se sert de votre adresse pour piéger vos correspondants, et parfois pour détourner un paiement.
Les signes qui doivent alerter
- Des correspondants reçoivent de votre part des mails que vous n'avez pas écrits, souvent avec un lien ou une pièce jointe.
- Des mails disparaissent ou n'arrivent plus : une règle cachée peut les déplacer ou les supprimer.
- Des centaines de messages « non distribués » arrivent d'un coup dans votre boîte.
- Vous recevez des demandes de validation de connexion que vous n'avez pas faites.
- Votre mot de passe ne fonctionne plus.
Les gestes à faire tout de suite
- Changez le mot de passe depuis un appareil sain. Utilisez un autre ordinateur ou votre téléphone si vous doutez du poste habituel. Choisissez un mot de passe long et nouveau, jamais utilisé ailleurs.
- Déconnectez toutes les sessions. Changer le mot de passe ne suffit pas toujours : une session déjà ouverte peut rester active. Sur la page Informations de sécurité de votre compte, utilisez « Se déconnecter partout ». Votre administrateur peut aussi révoquer les sessions depuis le centre d'administration.
- Vérifiez la double authentification. Sur la même page, regardez les méthodes de connexion enregistrées. Supprimez tout numéro de téléphone ou toute application que vous ne reconnaissez pas : l'attaquant ajoute souvent les siens pour pouvoir revenir. Si la double authentification n'était pas active, activez-la maintenant.
- Cherchez les règles et les transferts. Dans Outlook sur le web, ouvrez les Paramètres, puis Courrier, et regardez les rubriques « Règles » et « Transfert ». Une règle que vous n'avez pas créée (déplacement vers un dossier peu utilisé, suppression des réponses, transfert vers une adresse externe) est la signature d'un piratage. Faites une capture d'écran, puis supprimez-la.
- Regardez les éléments envoyés. Ils montrent à qui l'attaquant a écrit et ce qu'il a demandé. Ne les supprimez pas : ce sont des preuves.
- Prévenez vos correspondants. Une fois le compte repris, un message court suffit : « Un mail frauduleux a été envoyé depuis notre adresse aujourd'hui. Ne l'ouvrez pas et supprimez-le. » Si le mail piégé parlait de paiement ou de coordonnées bancaires, appelez directement les personnes concernées.
- Si un virement est parti, appelez votre banque immédiatement. Une demande de rappel des fonds a d'autant plus de chances d'aboutir qu'elle est faite tôt.
Ce qu'il ne faut pas faire
- Supprimer le compte ou la boîte : vous perdez les traces qui permettent de comprendre ce qui s'est passé.
- Effacer les mails envoyés par l'attaquant, ou une règle suspecte, sans l'avoir notée.
- Répondre à l'attaquant ou payer quoi que ce soit.
- Changer le mot de passe et passer à autre chose : si l'attaquant a enregistré son propre téléphone ou une application connectée, il peut revenir.
Ce que l'administrateur doit vérifier ensuite
Les gestes ci-dessus coupent l'accès. Il faut ensuite comprendre ce qui s'est passé, ce qui demande un accès administrateur :
- le journal des connexions : d'où, quand, depuis quel pays ou quel hébergeur ;
- les applications connectées au compte : une application autorisée par l'attaquant garde son accès même après le changement de mot de passe ;
- les délégations sur la boîte (« envoyer en tant que », accès complet) ;
- le journal d'audit : mails consultés, fichiers téléchargés, partages créés ;
- les autres comptes de l'entreprise : un compte piraté sert souvent à piéger les collègues.
Déclarer l'incident
Le site cybermalveillance.gouv.fr propose un diagnostic en ligne et des fiches pratiques. En cas de préjudice (virement détourné, données volées), portez plainte auprès de la police ou de la gendarmerie. Si des données personnelles de clients ou de salariés ont pu être consultées, la violation doit en principe être notifiée à la CNIL dans les 72 heures.
Éviter que cela recommence
Sur les comptes que nous reprenons, nous trouvons souvent une double authentification absente ou partielle, ou des transferts vers des messageries personnelles oubliés depuis des mois. Commencez par les 10 réglages à vérifier.
Avec Shield 365, une connexion inhabituelle, une nouvelle règle de transfert ou un envoi en rafale déclenche une alerte chez nous dans les 15 minutes, au lieu d'être découvert par un client quelques jours plus tard.