Quand un compte Microsoft 365 est compromis, le problème ne commence pas toujours par un grand écran rouge ou par une boîte mail bloquée.
Souvent, tout paraît encore normal. Les messages continuent d’arriver. L’utilisateur travaille. Les équipes ne voient rien d’évident. Et pourtant, en arrière-plan, quelqu’un a peut-être déjà commencé à lire, rediriger, télécharger ou préparer une fraude.
C’est ce qui rend ce type d’incident si trompeur.
Dans beaucoup de PME, Microsoft 365 est au cœur de l’activité : messagerie, fichiers, comptes utilisateurs, collaboration, parfois même authentification sur d’autres services. Quand un compte tombe, l’impact ne se limite donc pas à quelques e-mails. Il peut très vite toucher les données, la relation client, les finances et la confiance.
La bonne nouvelle, c’est qu’une compromission laisse souvent des traces avant la crise visible. Encore faut-il savoir où regarder.
Pourquoi Microsoft 365 est une cible si rentable
Pour un attaquant, compromettre un compte Microsoft 365, ce n’est pas seulement accéder à une boîte mail.
C’est potentiellement obtenir :
- des conversations internes ;
- des échanges fournisseurs ;
- des liens de réinitialisation ;
- des fichiers partagés ;
- des habitudes de paiement ;
- des signatures de mails ;
- des contacts crédibles à exploiter.
Autrement dit, un seul compte peut ouvrir plusieurs portes à la fois.
C’est aussi pour cela que les attaques passent souvent par des méthodes discrètes :
- phishing ciblé ;
- MFA fatigue ;
- mot de passe réutilisé ;
- consentement OAuth malveillant ;
- jeton de session détourné.
Le but n’est pas toujours de casser brutalement l’accès.
Le but est souvent d’entrer sans bruit et de rester crédible le plus longtemps possible.
Les premiers signaux faibles à ne pas ignorer
La difficulté, c’est que les premiers indices paraissent parfois anodins lorsqu’on les regarde séparément.
Connexions inhabituelles
Un compte qui se connecte depuis une localisation incohérente, à des horaires inhabituels ou depuis un navigateur jamais vu auparavant mérite une vérification.
Échecs MFA ou prompts répétés
Quand un utilisateur reçoit plusieurs demandes MFA non sollicitées, il ne faut jamais banaliser le signal. Cela peut indiquer une tentative active de compromission ou une fatigue MFA en cours.
Changement discret de comportement
Un utilisateur qui “n’a plus reçu certains messages”, une boîte qui semble calme d’un coup, des échanges qui manquent, des réponses client inhabituelles : ce sont parfois les premiers signes visibles d’une règle malveillante.
Téléchargements ou consultations anormales
Un volume inhabituel d’accès à des fichiers OneDrive ou SharePoint, surtout pour un compte qui n’a pas ce comportement d’habitude, doit faire lever le doute.
Le vrai danger vient souvent de là : chaque signal pris seul semble gérable. Mais ensemble, ils racontent une histoire beaucoup plus inquiétante.
Ce que les attaquants font souvent après l’accès initial
Une fois dans Microsoft 365, l’attaquant n’a pas toujours intérêt à être visible. Il cherche plutôt à se rendre utile, discret et durable.
Créer des règles de boîte mail
C’est l’un des classiques. L’attaquant crée une règle pour :
- déplacer certains messages ;
- supprimer des réponses ;
- rediriger des échanges sensibles ;
- masquer les alertes.
Résultat : la victime continue à travailler, mais ne voit plus tout.
Lire avant d’agir
Dans de nombreux cas, l’attaquant observe d’abord :
- qui parle à qui ;
- comment les paiements sont formulés ;
- quels fournisseurs sont actifs ;
- quel ton utilise la direction ;
- quand les validations ont lieu.
C’est ce temps d’observation qui rend ensuite la fraude beaucoup plus crédible.
Ajouter une application OAuth
Autre scénario fréquent : l’utilisateur accepte, parfois sans comprendre, une application demandant des droits d’accès. Le mot de passe n’est alors plus le seul problème. Même si on le change, l’accès peut parfois persister tant que l’application malveillante reste autorisée.
Utiliser le compte pour frauder
Une fois la boîte maîtrisée, l’attaquant peut :
- envoyer des messages de fraude fournisseur ;
- demander un changement d’IBAN ;
- relancer un client ;
- cibler d’autres collaborateurs ;
- chercher des accès supplémentaires.
C’est souvent à ce stade que l’incident devient visible. Mais à ce moment-là, il a déjà eu le temps de produire des effets.
Ce qu’une PME devrait vérifier immédiatement
Quand un doute existe, il ne faut pas se contenter de changer le mot de passe et passer à autre chose.
Il faut au minimum vérifier :
Les journaux de connexion
- adresses IP inhabituelles ;
- pays incohérents ;
- appareils inconnus ;
- horaires anormaux ;
- succès après une série d’échecs.
Les règles de messagerie
- redirections externes ;
- suppressions automatiques ;
- déplacements vers des dossiers peu visibles ;
- filtres sur des mots-clés sensibles.
Les applications consenties
- nouvelles applications autorisées ;
- permissions trop larges ;
- outils inconnus de l’entreprise ;
- accès persistants non justifiés.
Les sessions ouvertes
Un simple changement de mot de passe ne suffit pas toujours. Il faut aussi invalider les sessions actives et forcer une réauthentification propre.
Les comptes à privilèges
Si le compte touché avait un rôle élevé, il faut vérifier immédiatement l’étendue réelle de l’impact.
Les erreurs classiques à éviter
Dans beaucoup d’incidents, le vrai problème n’est pas seulement la compromission initiale. C’est la réaction trop courte derrière.
Les erreurs fréquentes sont simples :
- changer le mot de passe sans vérifier les sessions ;
- oublier les règles de boîte mail ;
- ne pas regarder les applications OAuth ;
- ne pas vérifier si d’autres comptes ont reçu des messages similaires ;
- croire que l’absence de chiffrement ou de ransomware signifie qu’il n’y a “pas eu grand-chose”.
Un compte Microsoft 365 compromis peut produire beaucoup de dégâts sans jamais chiffrer le moindre fichier.
Les bons réflexes de prévention
Une PME n’a pas besoin d’un dispositif irréaliste pour mieux se protéger. Mais quelques bases changent déjà beaucoup de choses :
- MFA robuste sur tous les comptes sensibles ;
- revue régulière des méthodes d’authentification ;
- surveillance des connexions anormales ;
- contrôle des applications tierces autorisées ;
- bannière sur les expéditeurs externes ;
- vérification hors bande pour toute demande financière ou inhabituelle ;
- sensibilisation réaliste, pas seulement théorique.
Le plus important n’est pas d’empêcher chaque tentative.
Le plus important est de rendre la compromission plus visible, plus courte et plus difficile à exploiter.
Conclusion
Une compromission Microsoft 365 ne se résume pas à une boîte mail piratée. C’est souvent un point d’entrée vers la fraude, la lecture silencieuse des échanges, l’usurpation de confiance et parfois la fuite de données.
Le vrai problème n’est donc pas seulement le moment où le compte est bloqué.
Le vrai problème, c’est tout ce qui peut se passer avant, pendant que l’entreprise croit encore que tout est normal.
C’est pour cela que la bonne question n’est pas seulement :
“Sommes-nous protégés ?”
La bonne question est plutôt :
“Si un compte Microsoft 365 était compromis aujourd’hui, verrions-nous les signes assez tôt ?”
