Compte Microsoft 365 compromis : comment réagir

Un e-mail de facture frauduleux part depuis l'adresse d'un collaborateur. Un client signale un message étrange. Un partenaire reçoit une demande de virement inhabituelle. Ces signaux trahissent souvent un compte Microsoft 365 compromis : quelqu'un d'autre est connecté, lit les e-mails, observe vos habitudes, et prépare une fraude au nom de votre entreprise. La rapidité de réaction change tout, car chaque heure de plus élargit les dégâts.

Un compte de messagerie compromis n'est pas seulement un problème pour son propriétaire : c'est une tête de pont vers toute l'organisation et son réseau de contacts. L'attaquant peut usurper l'identité du collaborateur, détourner une facture, accéder aux documents partagés ou rebondir vers d'autres comptes. Réagir dans le bon ordre permet de reprendre la main, de fermer les portes dérobées, puis d'empêcher que cela se reproduise.

Reprendre la main immédiatement

Le premier objectif est de déconnecter l'attaquant et de l'empêcher de se reconnecter. Ces quatre gestes se font en quelques minutes depuis la console d'administration, et l'ordre a son importance.

1. 1Réinitialisez le mot de passe du compte concerné avec un mot de passe fort et unique.
2. 2Révoquez toutes les sessions actives dans Entra ID pour déconnecter immédiatement l'attaquant.
3. 3Vérifiez et réactivez le MFA s'il avait été contourné ou désactivé.
4. 4Bloquez temporairement le compte si le doute persiste sur son intégrité.

Pourquoi révoquer les sessions est indispensable

Changer le mot de passe ne suffit pas : les jetons de session existants restent valides et permettent à l'attaquant de continuer à agir malgré le nouveau mot de passe. La révocation des sessions dans Entra ID invalide ces jetons et force une nouvelle authentification complète, MFA compris. C'est cette étape, souvent oubliée, qui coupe réellement l'accès en cours.

Chasser les portes dérobées laissées par l'attaquant

Reprendre le mot de passe ne suffit pas. Un attaquant expérimenté installe des moyens de conserver l'accès, même après votre intervention. Passez systématiquement en revue les points suivants avant de considérer l'incident comme clos.

• Règles de boîte de réception qui transfèrent ou suppriment discrètement des e-mails.
• Adresses de transfert automatique ajoutées à la messagerie.
• Méthodes MFA inconnues (téléphone, application d'authentification) enregistrées récemment.
• Applications et autorisations OAuth accordées à des tiers suspects.
• Journaux de connexion : localisations, adresses IP et appareils inhabituels.

Ces règles cachées sont la signature d'une compromission : elles permettent à l'attaquant de continuer à lire vos échanges et à intercepter des messages même après un changement de mot de passe. Une règle qui déplace vers un dossier obscur tous les e-mails contenant les mots « facture » ou « virement », par exemple, sert à masquer une fraude en cours. Leur suppression est indispensable pour clôturer réellement l'incident et éviter une rechute quelques jours plus tard.

Gérer l'onde de choc au-delà du compte

Pensez aussi à l'onde de choc au-delà du compte lui-même. Prévenez les contacts qui ont pu recevoir des messages frauduleux, en particulier vos clients et vos partenaires financiers, afin qu'ils ne donnent pas suite à une fausse demande de virement. Vérifiez si d'autres comptes de l'organisation partageaient le même mot de passe et changez-les. Enfin, évaluez si des données personnelles ont été exposées : une compromission de messagerie peut constituer une violation à documenter, voire à notifier sous 72 heures au titre du RGPD.

Documentez chaque étape de votre réponse au fur et à mesure : heure de détection, indices observés, actions menées, portée estimée. Cette traçabilité vous sera précieuse en cas d'audit ou de contrôle ultérieur, et transforme un incident chaotique en dossier maîtrisé et défendable.

Un exemple concret

Le comptable d'une PME reçoit un appel d'un fournisseur s'étonnant d'un changement de coordonnées bancaires. En vérifiant, la direction découvre qu'un e-mail envoyé depuis le compte d'un collaborateur demandait de modifier l'IBAN pour un prochain règlement. Le compte avait été compromis via un faux portail de connexion, et une règle de messagerie déplaçait discrètement les réponses des fournisseurs vers un dossier caché.

La réaction a été méthodique : mot de passe réinitialisé, sessions révoquées, MFA vérifié, règle malveillante et transfert automatique supprimés, consentements OAuth passés en revue. Les fournisseurs concernés ont été rappelés par téléphone pour bloquer tout virement frauduleux. L'incident a été consigné et l'analyse RGPD menée. Grâce à une réaction rapide et complète, aucun virement n'a abouti et l'attaquant a définitivement perdu l'accès.

Les erreurs fréquentes à éviter

La gestion d'un compte compromis échoue souvent parce qu'on s'arrête à mi-chemin. Voici les écueils qui laissent la porte entrouverte.

• Changer le mot de passe sans révoquer les sessions, laissant les jetons actifs valides.
• Oublier de vérifier les règles de messagerie et les transferts automatiques.
• Ne pas contrôler les méthodes MFA enregistrées, dont une ajoutée par l'attaquant.
• Négliger les consentements OAuth, qui offrent un accès persistant sans mot de passe.
• Ne prévenir personne, laissant les contacts exposés à la fraude en cours.

Comment AuPoint prévient la prochaine compromission

Pour éviter la prochaine compromission, l'Accès conditionnel et le MFA obligatoire neutralisent la quasi-totalité des attaques par mot de passe volé avant même qu'elles n'atteignent une boîte aux lettres. AuPoint est un SaaS qui rend la sécurité et la conformité Intune faciles, sans PowerShell. La plateforme déploie ces protections en quelques clics, surveille en continu la conformité de vos comptes, vous alerte sur les configurations à risque comme des règles de transfert inattendues, et vous laisse un aperçu de l'impact avant application ainsi qu'un retour arrière en un clic. Vous fermez la porte à l'avance et vous la gardez fermée, en restant aligné sur ISO 27001, NIS2 et le RGPD.

Questions fréquentes

Comment savoir si un compte est vraiment compromis ?

Les signaux typiques sont des connexions depuis des lieux ou appareils inhabituels dans les journaux Entra ID, des règles de messagerie que l'utilisateur n'a pas créées, des e-mails envoyés à son insu ou des signalements de contacts. En cas de doute, traitez le compte comme compromis : réinitialiser et révoquer les sessions ne coûte que quelques minutes.

Le MFA était activé, comment le compte a-t-il été piraté ?

Le hameçonnage moderne peut contourner un MFA classique en interceptant le code en temps réel ou en piégeant l'utilisateur pour qu'il approuve une demande. C'est pourquoi il faut vérifier les méthodes MFA enregistrées après un incident, et privilégier des méthodes résistantes au phishing associées à l'exigence d'un appareil conforme.

Faut-il notifier une compromission de messagerie à la CNIL ?

Cela dépend de l'exposition de données personnelles et du risque pour les personnes. Une boîte aux lettres contient souvent des données personnelles, donc la question doit être posée sérieusement. Documentez l'analyse dans votre registre des violations et notifiez sous 72 heures si un risque pour les droits et libertés est probable.

Connectez votre tenant Microsoft à AuPoint et renforcez vos comptes Microsoft 365 en quelques minutes, avec aperçu de l'impact et réversibilité garantie, sans PowerShell. Commencez gratuitement sur aupoint.io.