Compte Microsoft 365 piraté : comment réagir et vérifier les accès ?

Des messages envoyés à votre insu, une règle de transfert inconnue ou une demande MFA inattendue peuvent signaler une compromission. La priorité est de reprendre le contrôle avec un accès fiable, limiter les actions de l’attaquant et préserver les éléments utiles à l’analyse. Changer le mot de passe seul ne permet pas de conclure que tous les accès ont disparu.

Qualifier l’alerte et organiser la réponse

Relevez l’heure, les comptes concernés, les symptômes et les personnes qui les ont observés. Une connexion inhabituelle ou un message suspect n’est pas toujours la preuve d’un piratage ; elle doit être confrontée aux journaux et au contexte. À l’inverse, une boîte apparemment normale peut contenir une règle discrète qui copie certains messages.

Prévenez les personnes habilitées par un canal indépendant de la boîte suspecte. Utilisez un appareil de confiance et un compte d’administration sain ; les comptes d’accès d’urgence doivent disposer de leur propre procédure. Pour une modification de coordonnées bancaires ou un paiement, faites vérifier la demande par un contact connu, sans rappeler le numéro contenu dans le message douteux.

Contenir sans attendre la fin de l’analyse

Un administrateur autorisé doit appliquer les mesures de confinement adaptées : bloquer la connexion du compte concerné, révoquer ses sessions et réinitialiser les identifiants compromis. Ces actions sont complémentaires. La révocation réduit les possibilités de réutilisation des sessions mais son effet dépend des applications et des mécanismes de jetons ; ne promettez pas une coupure instantanée de tout accès.

Préservez les traces en parallèle, sans retarder un confinement nécessaire : journaux de connexion et d’audit disponibles, règles, messages frauduleux, destinataires et changements de droits. Notez qui a exécuté chaque mesure et quand. La durée de disponibilité des journaux dépend des services et licences ; exportez rapidement les éléments pertinents vers un emplacement protégé plutôt que compter sur une conservation illimitée.

Chercher les accès qui survivent au changement de mot de passe

Ces vérifications doivent couvrir les boîtes partagées accessibles au compte, pas uniquement sa boîte personnelle. Le partage externe SharePoint mérite aussi une revue si des liens ou des invités ont été ajoutés. Un mot de passe neuf ne supprime pas à lui seul une délégation ou une autorisation accordée à une application.

Vérifier les appareils et mesurer les conséquences

Examinez le poste et les navigateurs utilisés : logiciel malveillant, extension inconnue, session conservée sur un appareil tiers ou accès à distance non autorisé. Reconnecter immédiatement le compte depuis un poste toujours compromis peut exposer à nouveau les identifiants. Le traitement doit coordonner l’identité et les appareils, avec l’équipe chargée de leur sécurité.

Établissez ensuite la période et les données potentiellement accessibles : messages, contacts, documents et informations de paiement. Distinguez ce qui est constaté de ce qui reste possible. Un journal incomplet ne permet pas d’affirmer qu’aucune donnée n’a été consultée. Les mesures de sécurité de la messagerie et les alertes disponibles aident à circonscrire l’incident, sans constituer une preuve automatique d’absence de fuite.

Évaluer les obligations suisses avec les bonnes personnes

Si des données personnelles sont concernées, le responsable du traitement doit apprécier le risque et les suites à donner. Selon le PFPDT, l’annonce d’une violation selon l’article 24 LPD dépend notamment de son risque vraisemblablement élevé pour la personnalité ou les droits fondamentaux. N’appliquez pas automatiquement un délai issu d’un autre régime juridique à toute PME suisse ; examinez aussi les autres obligations effectivement applicables.

Consignez la décision, ses motifs et les informations encore manquantes. Faites intervenir le responsable de la protection des données ou le conseil compétent lorsque nécessaire, ainsi que les interlocuteurs contractuels concernés. Notre article sur la sécurité informatique et la LPD fournit le contexte général ; il ne remplace pas cette évaluation propre à l’incident.

Rétablir l’accès avec une recette et un suivi

1. Confirmer l’identité du titulaire et renouveler les moyens d’authentification compromis.
2. Vérifier les règles, transferts, permissions et applications avant de rouvrir le compte.
3. Reprendre la connexion depuis un appareil considéré comme sain.
4. Tester les usages nécessaires sans réactiver un accès suspect.
5. Surveiller les connexions et alertes, puis documenter les corrections durables.

Informez les destinataires affectés par un message frauduleux lorsque cela fait partie de la réponse retenue, avec des consignes factuelles. Le compte rendu doit séparer les faits établis, les mesures appliquées, les incertitudes et les actions à poursuivre. La clôture d’un ticket technique ne signifie pas automatiquement que l’analyse des données exposées est terminée.