Un salarié a saisi ses identifiants sur une fausse page Microsoft 365. Quelques minutes plus tard, sa messagerie envoie des liens suspects à ses contacts. Traitez l’incident comme une compromission active : l’attaquant peut encore lire les échanges, exploiter les fichiers partagés et rebondir vers d’autres comptes.
La priorité est de couper l’accès frauduleux, de préserver les preuves et de mesurer le périmètre réel. Le responsable IT doit piloter les actions dans les premières heures ; le manager et la direction gèrent ensuite l’information des clients et partenaires visés.
L’essentiel
Face à un compte Microsoft 365 piraté, bloquez immédiatement la session Microsoft 365, imposez une réinitialisation mot de passe depuis un poste sain, supprimez les règles de transfert créées par l’attaquant et contrôlez les connexions, applications et envois. Prévenez sans délai les destinataires touchés afin de stopper la propagation du phishing entreprise.
Isoler le compte Microsoft 365 piraté dans les 15 premières minutes
Ne demandez pas au salarié de poursuivre son activité sur son poste ni de répondre aux messages suspects. Isolez l’ordinateur du réseau si un logiciel malveillant est possible, puis faites réaliser une analyse antivirus complète avant toute reconnexion. Un changement de mot de passe depuis un poste compromis expose le nouveau secret.
Dans le centre d’administration Microsoft 365, bloquez temporairement la connexion de l’utilisateur. Révoquez ensuite ses jetons et sessions actives : changer le mot de passe seul ne coupe pas toujours une session Microsoft 365 déjà ouverte chez l’attaquant.
La réinitialisation mot de passe doit produire un secret long, unique et stocké dans un gestionnaire approuvé. Réinitialisez aussi tout compte dont le même mot de passe aurait été réemployé, notamment VPN, CRM, outils de paie ou comptes administrateurs. Vérifiez que les coordonnées de récupération n’ont pas été modifiées.
Contrôler ce que l’attaquant a fait dans la boîte mail compromise
Une boîte mail compromise sert souvent à détourner les échanges financiers. Recherchez dans Outlook et dans Exchange les règles de boîte aux lettres, redirections externes, délégations, réponses automatiques et suppressions de messages. Une règle qui classe les emails contenant « facture », « RIB » ou « paiement » constitue un signal fort de fraude au président ou de fraude fournisseur.
Consultez les journaux de connexion : adresse IP, pays, appareil, horaire, échecs et méthodes d’authentification. Comparez-les avec les habitudes du salarié. Contrôlez aussi les emails envoyés, les brouillons, les éléments supprimés et les recherches réalisées sur les contacts, factures ou contrats.
L’examen doit couvrir OneDrive, SharePoint et Teams. L’attaquant peut avoir téléchargé des fichiers, créé un lien de partage ou consulté des données clients. Le choix entre SharePoint, OneDrive et un NAS influe sur les journaux et les droits à examiner, mais ne remplace pas ce contrôle d’incident.
Mesurer les effets de la réponse immédiate
Le blocage rapide réduit la fenêtre de fraude, évite que les correspondants ouvrent le lien et limite l’accès aux documents. Il a toutefois un coût opérationnel : le salarié perd l’accès à ses outils pendant l’enquête et certains flux urgents doivent être repris par un collègue autorisé.
- + Réduction du volume d’emails malveillants et du risque de compromission en chaîne.
- + Préservation des journaux utiles pour qualifier l’incident et dialoguer avec l’assureur.
- + Limitation des demandes frauduleuses de changement de RIB ou de paiement urgent.
- – Interruption temporaire de la messagerie, de Teams et des fichiers de l’utilisateur.
- – Risque de supprimer des indices si les règles ou messages sont effacés avant export des traces.
- – Charge de communication auprès des clients, fournisseurs et équipes internes.
Avertir les destinataires et sécuriser les flux sensibles
Prévenez les personnes ayant reçu le message frauduleux avec une communication brève, envoyée depuis une adresse saine. Indiquez l’objet ou la période d’envoi, demandez de ne pas ouvrir le lien ni la pièce jointe, puis de supprimer le message. N’ajoutez aucun lien dans cette alerte.
Appelez les interlocuteurs engagés dans un règlement, un changement de coordonnées bancaires ou un échange de documents confidentiels. Un appel au numéro habituel, suivi d’un contrôle à deux personnes, bloque la plupart des tentatives de substitution de RIB. Signalez aussi le message aux équipes finance, achats et commercial.
Documentez la chronologie : heure du clic, alerte, blocage, changement d’identifiants, IP observées, règles supprimées, fichiers touchés et destinataires prévenus. Ce registre facilite la décision sur une notification de violation de données et évite une réponse désordonnée lors d’un incident similaire.
Éviter la récidive après le phishing entreprise
Activez l’authentification multifacteur pour tous les comptes, en priorité les administrateurs, la finance et la direction. Préférez une application d’authentification ou une clé de sécurité aux codes SMS quand votre politique le permet. Bloquez l’authentification héritée et exigez une MFA renforcée pour les accès à risque.
Déployez des règles d’accès conditionnel adaptées : appareil conforme, localisation inhabituelle, connexion impossible et risque utilisateur. Les droits d’administration doivent rester séparés des comptes de messagerie quotidiens. Revoyez chaque trimestre les délégations de boîtes, les applications consenties et les transferts externes.
Testez aussi la restauration des données de messagerie et des fichiers critiques. Une procédure décrite mais jamais exécutée ne garantit aucun délai de reprise ; une méthode pour tester la restauration des sauvegardes permet de fixer un objectif réaliste et d’identifier les fichiers hors périmètre.
Compte Microsoft 365 piraté : le circuit de décision à formaliser
Attribuez un rôle précis à chaque acteur : le salarié signale sans tenter de réparer seul, l’IT coupe les accès et analyse les traces, la finance valide les paiements par un canal distinct, et la direction arbitre la communication externe. Un circuit court réduit le temps de réaction et protège la marge sur les dossiers en cours.
Organisez une simulation semestrielle basée sur un faux email Microsoft 365 et mesurez trois indicateurs : délai entre clic et signalement, délai de révocation de session et taux de destinataires joints. Ces données donnent au pilotage sécurité un coût concret et aident à prioriser formation, licences et paramétrages.
