Compte Microsoft 365 piraté : que faire dans l'heure | M-KIS

Des clients vous signalent avoir reçu un mail étrange de votre part. Votre dossier "Éléments envoyés" contient des messages que vous n'avez jamais rédigés. Ou pire : un fournisseur a viré de l'argent suite à un mail qui semblait venir de votre direction, avec un nouveau RIB. Ces trois scénarios ont un point commun : un compte Microsoft 365 compromis, utilisé par un attaquant pour usurper votre identité, intercepter vos échanges, ou préparer une fraude au président. Ce guide détaille les gestes à faire dans l'heure qui suit la découverte, ce qu'il ne faut pas faire, et le moment où l'accompagnement d'un professionnel devient nécessaire.

#1. Reconnaître un compte Microsoft 365 compromis

La compromission d'une messagerie professionnelle passe rarement inaperçue longtemps, à condition de savoir où regarder. Les signes les plus fréquents :

• Des messages dans "Éléments envoyés" que vous n'avez pas rédigés, souvent adressés à des contacts de votre carnet d'adresses
• Des réponses de destinataires qui signalent avoir reçu un mail suspect de votre part (pièce jointe, lien, demande de virement)
• Une règle de messagerie que vous n'avez pas créée, redirigeant ou supprimant silencieusement certains messages (souvent ceux contenant des mots comme "facture" ou "virement")
• Une connexion récente depuis un pays ou un appareil que vous ne reconnaissez pas, visible dans l'historique de connexion Microsoft 365
• Une application tierce autorisée sur votre compte que vous n'avez jamais approuvée
• Une alerte de connexion à risque envoyée par Microsoft ou par votre solution de supervision
• Un changement de mot de passe, de numéro de téléphone de récupération ou de méthode MFA que vous n'avez pas initié

#2. Les premiers gestes à faire immédiatement

#2.1 Changer le mot de passe

Première action, depuis un appareil que vous savez sain (pas celui potentiellement compromis). Choisissez un mot de passe long et unique, jamais réutilisé sur un autre service.

#2.2 Révoquer toutes les sessions actives

Changer le mot de passe ne suffit pas : si l'attaquant dispose déjà d'une session ouverte (jeton d'authentification), il peut rester connecté malgré le changement de mot de passe. Il faut forcer la déconnexion de toutes les sessions actives sur le compte (fonction disponible dans le portail d'administration Microsoft 365 ou, pour un utilisateur seul, dans les paramètres de sécurité du compte).

#2.3 Activer ou vérifier le MFA

L'authentification multifacteur (MFA) doit être activée sur le compte compromis, et vérifiée sur l'ensemble des comptes de l'organisation si elle ne l'était pas déjà partout. Vérifiez également qu'aucune méthode MFA frauduleuse (numéro de téléphone ou application d'authentification ajoutés par l'attaquant) n'a été enregistrée sur le compte.

#2.4 Vérifier et supprimer les règles de transfert ou de redirection malveillantes

C'est l'un des mécanismes de persistance les plus utilisés par les attaquants sur une messagerie compromise : une règle qui transfère silencieusement une copie de chaque message vers une adresse externe, ou qui redirige et supprime les messages contenant certains mots-clés (facture, virement, RIB) pour masquer une fraude en préparation. Vérifiez les règles de la boîte de réception, mais aussi les règles de transfert configurées au niveau du connecteur ou de la boîte elle-même, qui n'apparaissent pas toujours dans l'interface standard.

#2.5 Vérifier les connexions récentes et les applications autorisées

Passez en revue l'historique de connexion du compte (adresses IP, localisations, appareils) pour identifier une activité anormale, et révisez la liste des applications tierces ayant reçu une autorisation d'accès au compte (OAuth). Révoquez toute application non reconnue : c'est un vecteur de persistance qui survit souvent à un simple changement de mot de passe.

#2.6 Prévenir les contacts en cas d'usurpation

Si des messages frauduleux ont été envoyés depuis le compte compromis (phishing, demande de virement, pièce jointe malveillante), prévenez rapidement les destinataires concernés, en particulier vos partenaires financiers et fournisseurs habituels, pour qu'ils ne donnent pas suite à une demande frauduleuse en cours.

#2.7 Notifier la CNIL si des données personnelles sont concernées

Si la boîte mail compromise contenait des données personnelles (informations clients, salariés, candidats) et que l'attaquant y a eu accès, l'article 33 du RGPD impose une notification à la CNIL dans les 72 heures suivant la prise de connaissance de la violation, via notifications.cnil.fr.

#3. Ce qu'il ne faut surtout pas faire

• Ne pas se contenter de changer le mot de passe sans révoquer les sessions actives ni vérifier les règles de transfert : l'accès frauduleux peut persister malgré un mot de passe modifié.
• Ne pas ignorer une alerte de connexion suspecte sous prétexte qu'elle "vient probablement d'un faux positif" : vérifiez systématiquement avant d'écarter l'alerte.
• Ne pas répondre à un mail suspect reçu sur le compte compromis ni cliquer sur ses liens, y compris pour "vérifier" de quoi il s'agit.
• Ne pas exécuter un virement ou valider un changement de RIB fournisseur reçu par mail sans vérification par un canal indépendant (appel téléphonique à un numéro connu, pas celui indiqué dans le mail), tant que l'incident n'est pas clos.
• Ne pas se limiter au compte identifié comme compromis : vérifiez si d'autres comptes de l'organisation présentent des signes similaires, surtout s'ils partagent le même mot de passe ou ont échangé des messages avec le compte touché.
• Ne pas repousser l'activation du MFA sous prétexte que l'incident semble résolu : c'est la mesure la plus efficace pour empêcher une récidive avec les mêmes identifiants.

#4. Quand faire appel à un professionnel

Certaines situations justifient un accompagnement spécialisé plutôt qu'une gestion uniquement interne :

• Vous ne parvenez pas à identifier comment l'attaquant a obtenu l'accès initial (phishing, mot de passe réutilisé, application tierce malveillante)
• Plusieurs comptes de l'organisation semblent concernés
• Un virement ou une transaction financière a déjà été initié suite à un mail frauduleux
• Des données personnelles ou sensibles étaient accessibles depuis la boîte mail compromise
• Vous devez documenter l'incident pour votre assurance cyber, pour la CNIL, ou pour une plainte
• Vous souhaitez vérifier qu'aucune autre porte d'entrée (règle de transfert oubliée, application OAuth, boîte partagée) n'a été laissée ouverte par l'attaquant

Dans ces situations, un diagnostic complet des accès et de l'historique de connexion, réalisé par un professionnel, permet de s'assurer que l'incident est réellement clos, pas seulement masqué.

#5. L'accompagnement M-KIS

L'Équipe M-KIS intervient sur les compromissions de messagerie professionnelle, dont Microsoft 365, dans le cadre de sa réponse à incident : révocation des accès frauduleux, audit des règles de transfert et des applications autorisées, sécurisation durable des accès (MFA, politique de mots de passe, révision des droits), et accompagnement sur la notification CNIL si nécessaire. Cette méthode est détaillée sur notre page Réponse à incident & intervention curative sur site.

Pour les entreprises dont le site web a également été touché (souvent via les mêmes identifiants réutilisés), notre offre Secours Site traite spécifiquement le nettoyage d'un site WordPress ou PrestaShop piraté ; notre article guide de récupération technique d'un site piraté détaille la procédure pour les équipes techniques.

Au-delà de la remise en état, la meilleure protection contre une récidive reste une supervision continue des accès et des comportements anormaux. Notre SOC managé Wazuh open source surveille les connexions suspectes, les créations de règles de messagerie et les activités inhabituelles, avec des alertes exploitables plutôt qu'un flux ingérable de notifications.

Équipe M-KIS : compte Microsoft 365 ou messagerie professionnelle compromis, contactez-nous par mail à [email protected] en précisant l'étendue constatée (comptes concernés, messages frauduleux envoyés, virement éventuel). Nous répondons rapidement pour qualifier la situation et engager les premières actions.

Récapitulatif des premiers gestes, dans l'ordre :

1. Changer le mot de passe depuis un appareil sain
2. Révoquer toutes les sessions actives
3. Activer ou vérifier le MFA
4. Supprimer les règles de transfert ou de redirection malveillantes
5. Vérifier les connexions récentes et les applications autorisées
6. Prévenir les contacts en cas de messages frauduleux envoyés en votre nom
7. Notifier la CNIL sous 72 heures si des données personnelles sont concernées