Messagerie d’entreprise compromise

Messagerie Microsoft 365 compromise : contenir, vérifier, annoncer.

Si une boîte Microsoft 365 est compromise, un administrateur doit d’abord bloquer le compte ou réinitialiser son mot de passe (sans envoyer le nouveau par email), révoquer les sessions, retirer les méthodes d’authentification et appareils inconnus, puis vérifier les applications autorisées, les rôles d’administration, les transferts et toutes les règles de boîte, y compris masquées. En parallèle : appelez la banque si un paiement est parti ou prévu, prévenez clients et fournisseurs par téléphone, et évaluez si des données personnelles ont été exposées — en Suisse, une violation susceptible d’entraîner un risque élevé s’annonce au PFPDT dans les meilleurs délais.

Revu le 26 octobre 2026 par Danilson Ramos · version 1.0

Évaluer ma situation (gratuit)Demander une évaluation confidentielle →

Contenir (administrateur Microsoft 365)

Bloquez le compte ou réinitialisez le mot de passeBloquer est préférable. Ne transmettez pas le nouveau mot de passe par email ; les mots de passe d’application ne sont pas révoqués automatiquement.
Révoquez les sessionsDéconnectez toutes les sessions actives du compte.
Retirez les méthodes MFA et appareils inconnusPuis activez et imposez l’authentification multifacteur.
Vérifiez les applications autoriséesRetirez les consentements accordés à des applications inconnues.
Vérifiez les rôles d’administrationUn compte compromis ne doit garder aucun rôle inutile.
Examinez transferts et règlesTous les transferts de la boîte et toutes les règles, y compris masquées ; supprimez ce qui n’est pas légitime. Si l’envoi a été bloqué, retirez ensuite l’utilisateur des entités restreintes.

En parallèle (direction)

Appelez la banqueSi un paiement vers l’attaquant est parti ou prévu : demandez le blocage ou le rappel, avec date, montant et IBAN.
Prévenez clients et fournisseursPar téléphone, à un numéro connu : les factures et coordonnées reçues de vos adresses peuvent être fausses.
Conservez les tracesCaptures des règles et transferts avant suppression, en-têtes des emails frauduleux, chronologie des actions avec l’heure.
Évaluez les obligations d’annonceDonnées personnelles : PFPDT si un risque élevé est probable. Infrastructure critique : BACS dans les 24 heures. Ce sont des évaluations, pas des automatismes.

Ce qu’il ne faut pas faire

Ne répondez pas à l’attaquant et ne l’avertissez pas de vos actions.
N’envoyez pas le nouveau mot de passe par email.
Ne supprimez pas règles et messages avant de les avoir documentés.
Ne présumez pas une échéance universelle : la LPD suisse, le RGPD et l’obligation des infrastructures critiques n’ont ni le même seuil ni le même délai.

Les signes d’une boîte compromise (liste de Microsoft)

La boîte est bloquée à l’envoi, ou des emails disparaissent.
Des règles de boîte transfèrent vers des adresses inconnues ou déplacent des messages vers Notes, Courrier indésirable ou RSS.
Des éléments suspects dans Éléments envoyés ou Éléments supprimés.
Des changements de mot de passe fréquents ou des verrouillages inexpliqués.
Un transfert externe ajouté récemment, une signature modifiée.
Des clients qui reçoivent une facture avec de nouvelles coordonnées bancaires.

Les voies légitimes

La procédure de Microsoft
La page Microsoft Learn détaille chaque étape et les commandes d’administration associées.
Annonce au PFPDT (LPD, art. 24)
Pour une violation de la sécurité des données entraînant vraisemblablement un risque élevé, « dans les meilleurs délais ». Le PFPDT peut, avec votre accord, transmettre l’annonce au BACS.
RGPD, si vous y êtes soumis
Notification à l’autorité de contrôle « si possible, 72 heures au plus tard » après en avoir pris connaissance, sauf risque improbable.
Infrastructures critiques (LSI)
Les exploitants concernés signalent certaines cyberattaques au BACS dans les 24 heures suivant leur découverte, depuis le 1er avril 2025.
Signalement volontaire au BACS et plainte
Pour toute entreprise ; plainte à la police en cas de fraude.

Quand un avis spécialisé aide

Vous n’avez plus d’accès administrateur au tenant.
Un paiement a été détourné ou d’autres boîtes semblent touchées.
Des données de clients, de patients ou d’employés sont concernées.
Vous ignorez le point d’entrée et craignez un accès persistant.
Un assureur, un client ou une autorité attend un rapport écrit.

Mission de sécurité avancée

Réponse à incident, sur un périmètre écrit

Sur devis

Une demande confidentielle me permet de qualifier la situation et de vous proposer un périmètre et un prix fixe. J’interviens uniquement avec le mandat écrit d’une personne habilitée pour le tenant.

Périmètre, règles d’engagement et livrables écrits avant tout travail
Ressources qualifiées confirmées pour la mission
Rapport final et plan de remédiation

Demander une évaluation confidentielle

Limites

Aucune action sur votre tenant sans mandat écrit.
Aucune garantie de récupération des fonds : seule la banque peut tenter un rappel.
L’appréciation juridique d’une obligation d’annonce reste celle de votre organisation et de son conseil ; je fournis les faits et une liste de contrôle.
Aucune action sans autorisation explicite et périmètre signé
Pas de surveillance 24 h/24

Questions fréquentes

Faut-il annoncer l’incident dans les 72 heures ?

Pas forcément. La LPD suisse demande d’annoncer « dans les meilleurs délais » une violation entraînant vraisemblablement un risque élevé. Le délai de 72 heures est celui du RGPD, s’il s’applique. Les infrastructures critiques ont une obligation distincte de 24 heures auprès du BACS.

Changer le mot de passe suffit-il ?

Non. Les sessions ouvertes, les applications autorisées, les règles de transfert et les méthodes MFA ajoutées par l’attaquant peuvent survivre à un changement de mot de passe.

Que dire à nos clients ?

Par téléphone, à un numéro connu : qu’une boîte a été compromise et qu’ils ne doivent pas payer sur de nouvelles coordonnées sans confirmation orale.

Intervenez-vous directement dans Microsoft 365 ?

Seulement avec un mandat écrit et un périmètre défini, ou en accompagnant votre administrateur. Sans mandat, je fournis l’analyse et le plan.