Microsoft 365Guide complet : comment détecter une compromission Microsoft 365, identifier les attaques invisibles et protéger votre PME.
Votre messagerie fonctionne. Vos collaborateurs travaillent. Les serveurs répondent normalement. Aucun antivirus ne signale d'incident. Tout semble sous contrôle. Et pourtant, un cybercriminel pourrait déjà disposer d'un accès à une boîte aux lettres professionnelle, consulter des échanges confidentiels ou surveiller vos transactions commerciales. Aucune demande de rançon. Aucun fichier chiffré. Aucune interruption spectaculaire.
Simplement un accès non autorisé qui passe inaperçu.
Contrairement à l'image traditionnelle du piratage informatique, certaines attaques cherchent précisément à ne pas perturber l'activité de l'entreprise. L'objectif n'est pas forcément de bloquer votre système informatique. Il peut être beaucoup plus rentable pour un attaquant de rester discret, d'observer vos habitudes et d'exploiter les informations auxquelles il a accès.
Une compromission de messagerie peut ainsi préparer une fraude au paiement, une usurpation d'identité, une divulgation de données confidentielles ou une attaque ultérieure. Pour les PME suisses qui utilisent Microsoft 365, cette réalité soulève une question essentielle :
Comment savoir si votre environnement informatique est réellement sécurisé, et pas simplement fonctionnel ?
Dans ce guide, nous allons examiner les techniques les plus courantes de compromission de comptes, les signes qui doivent attirer votre attention, les vérifications à effectuer dans Microsoft 365 et les mesures concrètes permettant de réduire les risques. Nous aborderons également les implications pour les entreprises de Genève, de Vaud et de Suisse romande, notamment en matière de protection des données et de continuité d'activité.
Une cyberattaque peut être invisible pendant que votre entreprise fonctionne normalement
Toutes les cyberattaques ne provoquent pas une panne
Lorsqu'on évoque une cyberattaque, les premières images qui viennent à l'esprit sont souvent celles d'ordinateurs bloqués, de serveurs indisponibles ou de fichiers rendus illisibles par un ransomware. Ces incidents existent et peuvent avoir des conséquences majeures. Mais ils ne représentent qu'une partie des menaces informatiques. D'autres attaques reposent sur la compromission d'identités numériques.
Le cybercriminel ne cherche pas nécessairement à exploiter une vulnérabilité complexe dans un serveur. Il tente plutôt de se connecter avec des identifiants légitimes, de détourner une session existante ou d'obtenir des autorisations sur un service utilisé quotidiennement. Une fois connecté, il peut effectuer certaines opérations en utilisant les mêmes interfaces que l'utilisateur autorisé. C'est ce qui rend la détection difficile.
Les systèmes continuent à fonctionner. Les collaborateurs poursuivent leur activité. Et les actions malveillantes peuvent se mélanger aux événements parfaitement légitimes.
Disponibilité et sécurité : deux notions différentes
Une application disponible n'est pas automatiquement sécurisée. En cybersécurité, trois objectifs fondamentaux sont traditionnellement distingués :
La confidentialité : empêcher les personnes non autorisées d'accéder aux informations.
L'intégrité : préserver les données contre les modifications non autorisées.
La disponibilité : garantir l'accès aux systèmes et aux informations lorsque cela est nécessaire.
Une entreprise peut maintenir une excellente disponibilité tout en subissant une atteinte grave à la confidentialité. Par exemple, une boîte aux lettres peut continuer à fonctionner parfaitement alors qu'un tiers en consulte certains messages. De même, une application de stockage peut rester accessible pendant qu'un compte compromis télécharge des documents confidentiels.
C'est pourquoi les indicateurs de performance informatique classiques, tels que la disponibilité des serveurs ou le nombre de tickets de support, ne suffisent pas à mesurer le niveau de cybersécurité d'une entreprise.
L'absence de panne ne prouve pas l'absence d'intrusion.
Comment un compte Microsoft 365 peut-il être piraté ?
Microsoft 365 est largement utilisé pour la messagerie, le partage documentaire, la collaboration et l'accès aux applications professionnelles. Dans une PME, un seul compte peut donner accès à une quantité importante d'informations. Cette centralisation apporte de nombreux avantages, mais elle rend également la sécurité des identités particulièrement importante.
Le phishing : une porte d'entrée toujours efficace
Le phishing, ou hameçonnage, consiste à inciter une personne à transmettre des informations sensibles ou à effectuer une action dangereuse. Une tentative peut prendre la forme d'un e-mail annonçant :
- Un document SharePoint à consulter.
- Une notification de messagerie vocale.
- Une facture à télécharger.
- Un mot de passe arrivant à expiration.
- Une demande de vérification de compte Microsoft 365.
- Une invitation Teams ou une demande de signature électronique.
L'utilisateur est redirigé vers une page frauduleuse qui imite un service légitime. S'il saisit ses identifiants, ceux-ci peuvent être récupérés par l'attaquant. Lorsque le compte est insuffisamment protégé, ces informations peuvent permettre une connexion non autorisée.
Le phishing par interception de session
Les attaques modernes ne reposent pas uniquement sur le vol d'un mot de passe. Certaines campagnes utilisent des mécanismes de phishing dits Adversary-in-the-Middle (AiTM). Dans ce type de scénario, un site malveillant peut agir comme intermédiaire durant une authentification et tenter d'intercepter des informations de session.
L'utilisateur peut réaliser une authentification multifacteur légitime tout en exposant des éléments permettant, dans certaines conditions, à l'attaquant de réutiliser sa session. Cela ne signifie pas que le MFA serait inutile. Au contraire, il demeure l'une des protections essentielles contre la compromission de comptes. Mais toutes les méthodes d'authentification multifacteur n'offrent pas la même résistance au phishing.
Les clés FIDO2 et les passkeys correctement déployées offrent notamment une meilleure protection contre certaines attaques de phishing en temps réel. Microsoft détaille leur résistance au phishing et les techniques AiTM observées.
Les mots de passe réutilisés et les identifiants volés
Un collaborateur peut utiliser le même mot de passe pour plusieurs services. Si l'un de ces services subit une fuite de données, les identifiants récupérés peuvent être testés sur d'autres plateformes. Cette technique est appelée credential stuffing. Les attaquants peuvent également obtenir des identifiants au moyen de logiciels malveillants spécialisés dans le vol d'informations.
Il est donc essentiel d'associer des mots de passe uniques à une authentification forte et à une surveillance adaptée.
Les applications tierces et les autorisations OAuth
Une autre méthode consiste à convaincre un utilisateur d'autoriser une application à accéder à certaines ressources Microsoft 365. L'application peut demander des permissions concernant la messagerie, les fichiers ou le profil de l'utilisateur. Dans certains scénarios, l'attaquant cherche davantage à obtenir un consentement d'application qu'à voler directement un mot de passe.
Les autorisations accordées aux applications et les consentements administrateurs doivent donc faire partie des contrôles de sécurité. Un changement de mot de passe ne révoque pas à lui seul un consentement OAuth malveillant : les autorisations illicites doivent être examinées et révoquées.
Scénario concret : comment une compromission peut mener à une fraude bancaire
Prenons l'exemple fictif d'une PME genevoise de 25 collaborateurs. Elle utilise Microsoft 365 pour ses communications, SharePoint pour ses documents et une application métier pour sa facturation.
Lundi : un e-mail apparemment banal
Une collaboratrice du service administratif reçoit un message annonçant qu'un fournisseur lui a partagé un document. Elle clique sur le lien et tente de se connecter. La page ressemble à celle de Microsoft 365. Sans le savoir, elle interagit avec une infrastructure de phishing.
Mardi : un accès discret
L'attaquant obtient un accès exploitable au compte de messagerie. Il découvre des échanges avec des clients et des fournisseurs. Il identifie les contacts chargés de la comptabilité et du suivi des paiements. Il cherche également à comprendre comment l'entreprise valide les factures.
Mercredi : une surveillance ciblée
Une règle de messagerie suspecte est ajoutée ou des échanges sont consultés directement. L'attaquant suit les conversations concernant les factures et les commandes. Il repère un paiement important devant intervenir prochainement.
Jeudi : une instruction frauduleuse
Dans le contexte d'une conversation commerciale existante, une demande de modification des coordonnées bancaires est transmise. Le message est convaincant. Il utilise le vocabulaire habituel. Il contient des informations cohérentes avec la transaction. Le destinataire ne remarque aucune anomalie évidente.
Vendredi : la fraude est découverte
Le véritable fournisseur contacte l'entreprise. Il n'a pas reçu le règlement attendu. L'entreprise découvre alors que le paiement a été effectué vers un compte différent de celui prévu. L'analyse de sécurité révèle des activités suspectes sur la messagerie.
Le système informatique n'a pourtant jamais été interrompu.
C'est toute la difficulté des compromissions de messagerie utilisées pour la fraude commerciale, aussi appelée Business Email Compromise (BEC). Le scénario est fictif. Il illustre une chaîne d'attaque possible, et non un incident attribué à un client de Sunitech.
- 01Phishing
- 02Vol de session
- 03Accès messagerie
- 04Règle malveillante
- 05Fraude au paiement
Enchaînement illustratif. Une attaque réelle peut suivre un autre chemin.
Règles Outlook malveillantes : comment les cybercriminels peuvent dissimuler leur activité
Les règles de boîte de réception permettent d'automatiser le traitement des e-mails dans Outlook et Exchange Online. Elles servent normalement à organiser les messages, les classer ou effectuer certaines actions. Mais après une compromission, elles peuvent être utilisées pour détourner ou masquer des informations.
Les règles de transfert automatique
Une règle peut transférer des messages vers une adresse externe. Lorsqu'elle est configurée sans autorisation, elle peut entraîner une divulgation d'informations professionnelles. La possibilité effective de transférer les messages dépend des politiques Exchange Online et des paramètres de sécurité de l'organisation.
Microsoft recommande de contrôler le transfert automatique externe, qui représente un risque connu de divulgation.
Les règles de déplacement ou de suppression
Un attaquant peut également créer une règle qui déplace certains messages vers des dossiers peu consultés. Dans certains cas, cela peut empêcher l'utilisateur de remarquer des notifications, des avertissements ou des conversations sensibles. Une règle peut par exemple cibler certains expéditeurs ou objets de messages.
Comment détecter une règle Outlook suspecte ?
Une investigation doit notamment rechercher :
- Les règles créées ou modifiées récemment.
- Les destinations de transfert externes.
- Les règles utilisant des critères de filtrage inhabituels.
- Les déplacements automatiques vers des dossiers peu visibles.
- Les règles de suppression inexpliquées.
- Les modifications de délégation ou de transfert au niveau de la boîte aux lettres.
Dans Exchange Online, les administrateurs peuvent examiner les règles de boîte de réception au moyen des outils d'administration et de PowerShell. Les activités correspondantes peuvent également être recherchées dans les journaux d'audit disponibles. Il faut toutefois éviter de considérer toutes les règles automatiques comme malveillantes. Certaines sont parfaitement légitimes.
L'analyse doit tenir compte du propriétaire du compte, de l'historique, de la destination des messages et du contexte dans lequel la règle a été créée.
Une règle de transfert inconnue peut être un indicateur sérieux. Elle n'est pas, à elle seule, une preuve définitive de piratage.
Les principaux signes d'un compte Microsoft 365 compromis
Une attaque silencieuse ne produit pas nécessairement d'alerte visible pour l'utilisateur. Mais plusieurs catégories d'événements doivent attirer l'attention d'un administrateur.
Des connexions inhabituelles
Une connexion depuis un pays inattendu, une adresse IP inhabituelle ou un appareil inconnu peut justifier un examen. Il faut cependant tenir compte des déplacements, des VPN, des services intermédiaires et des erreurs de géolocalisation. La localisation seule ne permet pas de conclure à un piratage.
Des activités de messagerie anormales
Par exemple :
- Des e-mails envoyés sans intervention de l'utilisateur.
- Des messages absents ou déplacés.
- Des règles de boîte de réception inconnues.
- Des transferts externes inattendus.
- Des signatures modifiées.
- Des autorisations de délégation non justifiées.
Des changements d'authentification
L'ajout d'une méthode MFA inconnue, la modification inattendue d'informations de récupération ou des changements de mot de passe inexpliqués doivent être examinés.
Des permissions d'application suspectes
Une application inconnue disposant de droits importants sur la messagerie ou les fichiers peut représenter un risque.
Des téléchargements ou partages anormaux
Des volumes inhabituels de téléchargements OneDrive ou SharePoint, des liens de partage externes nouvellement créés ou des consultations de documents sensibles peuvent contribuer à identifier une activité non autorisée.
Des modifications administratives
L'ajout d'un administrateur, une modification de politique de sécurité ou l'attribution inattendue de nouveaux privilèges doivent être contrôlés.
Des alertes ignorées
Enfin, une entreprise peut disposer d'outils générant des alertes sans qu'aucune personne ne soit réellement responsable de leur traitement. Ce dernier point est organisationnel, mais ses conséquences peuvent être aussi importantes qu'une mauvaise configuration technique.
Comment vérifier si un compte Microsoft 365 est compromis ?
Une investigation professionnelle doit combiner plusieurs sources d'information. Il ne suffit pas de consulter une seule liste de connexions.
Microsoft Entra ID : analyser les connexions
Microsoft Entra ID, anciennement Azure Active Directory, gère les identités et l'authentification de nombreux environnements Microsoft 365. Les journaux de connexion permettent notamment d'examiner :
- Le compte concerné.
- La date et l'heure des événements.
- Les adresses IP observées.
- Les applications utilisées.
- Le résultat des tentatives de connexion.
- Les méthodes d'authentification.
- Certaines informations liées aux appareils et aux politiques d'accès.
Les données doivent être interprétées dans leur contexte. Une connexion réussie ne prouve pas automatiquement qu'elle était légitime. À l'inverse, une tentative échouée ne signifie pas forcément qu'une compromission a eu lieu.
Exchange Online : examiner la messagerie
Les investigations peuvent porter sur les règles de boîte de réception, les redirections, les délégations et certaines opérations de messagerie. Il convient notamment de vérifier les règles de transfert externe, les modifications de configuration et les activités suspectes identifiées dans les journaux.
Microsoft Purview : consulter les journaux d'audit
Microsoft Purview permet, selon les licences et les événements disponibles, de rechercher des activités concernant différents services Microsoft 365. Cela peut aider à établir une chronologie des événements et à vérifier certaines modifications. Attention toutefois à ne pas confondre les durées de conservation des différents journaux. Les journaux de connexion Microsoft Entra ID et les journaux d'audit Microsoft Purview ne suivent pas nécessairement les mêmes périodes de rétention.
Microsoft Defender : corréler les alertes
Selon les licences et les fonctionnalités activées, Microsoft Defender peut apporter des informations complémentaires sur les événements suspects, les comptes, les appareils et les activités de messagerie. Certaines solutions permettent également de corréler des alertes issues de plusieurs services. Cette corrélation est importante.
Une connexion inhabituelle, suivie d'une nouvelle règle Outlook et d'un accès massif à des fichiers, constitue un ensemble d'événements plus préoccupant qu'un seul signal isolé.
Examiner les applications connectées
L'analyse doit aussi porter sur les applications d'entreprise, les consentements OAuth, les autorisations accordées et les intégrations utilisant le compte concerné.
Reconstituer une chronologie
Une investigation sérieuse cherche à établir : Quand la première activité suspecte s'est-elle produite ? Quel compte a été utilisé ? À quels services a-t-il accédé ? Quelles modifications ont été réalisées ? Quelles données ont pu être consultées ou transférées ? Existe-t-il d'autres comptes concernés ? Cette chronologie est indispensable pour déterminer la portée réelle de l'incident.
Microsoft Entra IDConnexions, appareils et identités
Règles, transferts et activité e-mail
Journaux d’audit et investigations
Alertes, incidents et détections
Combien de temps Microsoft 365 conserve-t-il les journaux de sécurité ?
C'est une question particulièrement importante lorsqu'une intrusion est découverte tardivement. Les périodes de conservation dépendent du type de journal, des licences et des éventuelles configurations d'exportation ou de rétention. À titre indicatif, les durées documentées par Microsoft sont les suivantes :
| Source de journaux | Conservation native indicative |
|---|---|
| Microsoft Entra ID Free : connexions | 7 jours |
| Microsoft Entra ID P1/P2 : connexions | 30 jours |
| Microsoft Purview Audit Standard | 180 jours |
| Microsoft Purview Audit Premium | 1 an par défaut pour les événements Entra ID, Exchange, OneDrive et SharePoint couverts ; autres activités : 180 jours par défaut. Licences requises et extensions possibles |
Ces durées ne sont pas interchangeables et ne garantissent pas que chaque type d'événement soit disponible dans chaque abonnement. Une entreprise découvrant aujourd'hui une activité suspecte datant de plusieurs mois peut donc disposer d'un historique incomplet. Pour certaines organisations, l'exportation des journaux vers un système de stockage ou une plateforme SIEM peut être justifiée afin de bénéficier d'une rétention adaptée aux risques.
La conservation doit toutefois être proportionnée, sécurisée et conforme aux exigences légales applicables.
Les journaux Entra ID et le journal d'audit unifié Microsoft 365 restent des sources distinctes. Une nouvelle licence ne permet pas de récupérer des journaux Entra déjà expirés. Consultez la documentation Microsoft sur la rétention Entra ID et les conditions de rétention de Microsoft Purview Audit pour vérifier la couverture de votre environnement.
Sans historique suffisant, il devient parfois impossible de déterminer précisément ce qui s'est passé.
Que faire immédiatement si vous soupçonnez un compte Microsoft 365 piraté ?
Une suspicion sérieuse de compromission nécessite une réponse organisée. L'objectif est de contenir l'incident tout en préservant les informations nécessaires à son analyse.
Étape 1 : contacter la personne responsable de la sécurité IT
Prévenez immédiatement votre équipe informatique ou votre prestataire. Évitez de poursuivre des échanges sensibles depuis le compte potentiellement compromis. Utilisez un canal indépendant pour les communications urgentes.
Étape 2 : contenir les accès suspects
Selon le niveau de risque, il peut être nécessaire de bloquer temporairement la connexion du compte, de révoquer les sessions actives et de prendre des mesures supplémentaires sur les applications concernées.
Ces opérations doivent être coordonnées afin d'éviter de compromettre inutilement l'investigation, sans retarder le confinement d'un accès malveillant. En cas de compromission confirmée, Microsoft recommande de désactiver le compte concerné pendant l'investigation, puis de traiter les sessions et les mécanismes de persistance.
Étape 3 : sécuriser les moyens d'authentification
Réinitialisez les informations d'authentification compromises, vérifiez les méthodes MFA enregistrées et retirez les éléments suspects. Assurez-vous également que l'appareil de l'utilisateur n'est pas lui-même compromis.
Étape 4 : rechercher les mécanismes de persistance
Examinez notamment :
- Les règles et transferts Outlook.
- Les délégations de boîtes aux lettres.
- Les autorisations OAuth.
- Les modifications de privilèges.
- Les méthodes d'authentification.
- Les comptes ou applications nouvellement créés.
Étape 5 : analyser les accès aux données
Examinez les journaux disponibles pour déterminer quels services et documents ont potentiellement été consultés. Une compromission de compte peut concerner la messagerie, mais également des fichiers SharePoint, OneDrive et d'autres ressources.
Étape 6 : rechercher une compromission plus large
Vérifiez si d'autres utilisateurs, administrateurs ou systèmes présentent des activités similaires. Un compte compromis peut avoir été utilisé pour diffuser de nouveaux messages frauduleux dans l'organisation.
Étape 7 : documenter l'incident
Conservez les éléments pertinents : chronologie, journaux, messages frauduleux, modifications constatées et actions réalisées. La traçabilité est importante pour les investigations techniques, les obligations légales et les éventuelles démarches auprès d'assureurs ou d'autorités.
Étape 8 : organiser la communication
Selon les conséquences, il peut être nécessaire d'informer des collaborateurs, clients, fournisseurs ou partenaires. Si une fraude bancaire est suspectée, la banque doit être contactée sans délai pour examiner les possibilités de blocage ou de récupération des fonds.
Étape 9 : évaluer les obligations de notification
Une compromission peut également constituer une violation de la sécurité des données personnelles. Cette dimension doit être évaluée séparément de la remise en service technique.
Étape 10 : corriger les causes et vérifier le retour à la normale
L'incident ne doit pas être considéré comme clos au seul motif que le mot de passe a été changé. Il faut vérifier la suppression des accès malveillants, traiter les causes identifiées, renforcer les contrôles et confirmer que l'environnement est à nouveau maîtrisé.
Cyberattaque et protection des données : quelles obligations pour une PME suisse ?
La Suisse dispose d'un cadre légal spécifique en matière de protection des données personnelles. La Loi fédérale sur la protection des données (LPD) impose notamment certaines obligations aux responsables du traitement. Lorsqu'un compte professionnel est compromis, il faut déterminer si des données personnelles ont été rendues accessibles ou divulguées à des personnes non autorisées.
Une boîte aux lettres professionnelle peut contenir des informations personnelles relatives aux clients, aux collaborateurs, aux fournisseurs ou à d'autres personnes.
Une notification n'est pas automatiquement obligatoire pour chaque incident
Selon l'article 24 LPD, le responsable du traitement doit annoncer dans les meilleurs délais au Préposé fédéral à la protection des données et à la transparence (PFPDT) une violation de la sécurité des données entraînant vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées.
Il faut donc apprécier la nature des informations affectées, les conséquences possibles et le niveau de risque. Le guide du PFPDT sur l'annonce des violations précise ce cadre. Une information des personnes concernées peut également être nécessaire, notamment pour assurer leur protection.
Les risques ne sont pas uniquement techniques
Un incident peut avoir des conséquences contractuelles, organisationnelles et juridiques. Selon l'activité de l'entreprise, d'autres obligations sectorielles ou internationales peuvent aussi s'appliquer, notamment lorsque le RGPD européen est pertinent.
Depuis le 1er avril 2025, les exploitants d'infrastructures critiques assujettis à la LSI doivent aussi signaler à l'Office fédéral de la cybersécurité (OFCS) les cyberattaques entrant dans le champ de cette obligation dans les 24 heures suivant leur détection. Cette obligation est distincte de l'annonce au PFPDT et ne s'applique pas automatiquement à toute PME.
Les situations complexes doivent être examinées avec les spécialistes appropriés.
La préparation fait une différence importante
Une organisation qui dispose d'un inventaire des données, de procédures d'incident, de journaux suffisants et de responsabilités clairement définies sera généralement mieux préparée à évaluer la portée d'une violation. À l'inverse, l'absence de traçabilité peut compliquer considérablement cette évaluation.
La gestion d'un cyberincident ne consiste pas uniquement à restaurer la sécurité technique. Elle implique également de comprendre les conséquences sur les informations et les personnes concernées.
Comment protéger efficacement Microsoft 365 contre les compromissions ?
La prévention doit reposer sur plusieurs couches de protection. Aucune mesure isolée ne peut garantir l'absence de compromission.
Renforcer l'authentification
L'authentification multifacteur doit être déployée de manière cohérente. Pour les comptes sensibles, notamment les administrateurs, les méthodes résistantes au phishing doivent être privilégiées lorsque les conditions techniques le permettent. Les méthodes enregistrées doivent également être contrôlées régulièrement.
Appliquer le principe du moindre privilège
Chaque collaborateur doit disposer uniquement des droits nécessaires à ses fonctions. Les comptes administrateurs doivent être limités, identifiés et protégés spécifiquement. Les accès temporaires doivent pouvoir être révoqués lorsqu'ils ne sont plus nécessaires.
Sécuriser les règles et les transferts Exchange Online
Les transferts automatiques externes doivent être bloqués par défaut ou strictement encadrés selon les besoins de l'entreprise. Les règles suspectes et les modifications des paramètres de messagerie doivent pouvoir être détectées et analysées.
Contrôler les applications tierces
Les autorisations accordées aux applications doivent être gouvernées. Il est recommandé de limiter les consentements risqués, d'évaluer les applications et de contrôler périodiquement les permissions accordées.
Protéger les appareils
La sécurité des identités doit être associée à celle des postes de travail. Un ordinateur compromis peut exposer des informations d'authentification, des sessions et des documents sensibles. Une protection endpoint correctement configurée, des mises à jour régulières et une gestion adaptée des appareils sont donc importantes.
Sécuriser les configurations SharePoint et OneDrive
Les autorisations de partage doivent être cohérentes avec les besoins métier. Les liens externes, les accès invités et les droits hérités doivent faire l'objet de contrôles. La facilité de collaboration ne doit pas conduire à rendre accessibles des informations qui devraient rester confidentielles.
Mettre en place une véritable supervision
Les journaux et les alertes ne doivent pas seulement exister. Ils doivent être utilisés. Cela suppose de définir des règles de détection, des responsabilités, des délais de traitement et des procédures d'escalade.
Former les collaborateurs
Une formation utile ne se limite pas à rappeler de ne pas cliquer sur les liens suspects. Elle doit aussi expliquer comment signaler rapidement un doute, vérifier une instruction financière et reconnaître une demande inhabituelle. Un collaborateur qui signale immédiatement une erreur permet parfois d'éviter un incident bien plus important.
Tester régulièrement la capacité de réponse
Une simulation de compromission, un exercice de phishing encadré ou un test de procédure d'incident peut révéler des faiblesses organisationnelles. L'objectif n'est pas de piéger les collaborateurs. Il est de vérifier que l'entreprise sait détecter, signaler, contenir et traiter une situation suspecte.
Antivirus, EDR, XDR, SIEM, MDR et SOC : quelles différences ?
Ces termes apparaissent régulièrement dans les offres de cybersécurité. Ils répondent pourtant à des besoins différents.
| Solution | Rôle principal |
|---|---|
| Antivirus / protection endpoint | Détecter et bloquer certaines menaces sur les appareils |
| EDR | Détecter, investiguer et répondre aux activités suspectes sur les terminaux |
| XDR | Corréler des signaux de sécurité provenant de plusieurs domaines |
| SIEM | Centraliser, analyser et exploiter des événements et journaux |
| MDR | Fournir un service managé de détection et de réponse |
| SOC | Équipe ou dispositif opérationnel de surveillance et de traitement des incidents |
Ces solutions ne sont pas toutes interchangeables. Un EDR installé sur les ordinateurs ne garantit pas la surveillance complète d'un environnement Microsoft 365. Un SIEM sans règles pertinentes ni personnel responsable de son exploitation n'apporte pas automatiquement une détection efficace. Un SOC peut disposer d'outils performants, mais sa valeur dépend également de son périmètre, des processus et des engagements de service.
De quoi une PME de 10 à 50 collaborateurs a-t-elle réellement besoin ?
Tout dépend des risques. Une entreprise qui traite des informations sensibles, réalise de nombreuses transactions financières ou dépend fortement de services numériques aura des besoins différents d'une structure aux activités moins exposées. Une approche raisonnable consiste à commencer par un diagnostic : Quels systèmes sont critiques ? Quelles données doivent être protégées ? Quels mécanismes de détection existent déjà ? Qui traite les alertes ?
Quelle interruption ou perte d'information serait acceptable ? Quelles ressources internes sont disponibles ? C'est seulement après cette analyse qu'il devient pertinent de choisir des outils et des services complémentaires.
La bonne cybersécurité n'est pas celle qui accumule le plus de produits. C'est celle qui couvre effectivement les risques prioritaires de l'entreprise.
Pourquoi un audit Microsoft 365 peut révéler des faiblesses invisibles
Une entreprise peut avoir utilisé Microsoft 365 pendant plusieurs années sans avoir réalisé de contrôle approfondi de sa configuration. Au fil du temps, les utilisateurs changent, les applications se multiplient, les permissions évoluent et certaines exceptions deviennent permanentes. Un audit de sécurité permet de dresser un état des lieux.
Les identités et les droits
L'audit peut examiner les méthodes MFA, les comptes administrateurs, les comptes invités, les droits sensibles et les politiques d'accès. Il permet notamment d'identifier des permissions excessives ou des méthodes d'authentification insuffisamment robustes.
La configuration Exchange Online
Les règles de transport, les transferts externes, les paramètres de protection des e-mails et les délégations peuvent être analysés. L'objectif est de vérifier la cohérence des configurations et de rechercher des situations anormales.
La collaboration et le partage documentaire
Les politiques SharePoint et OneDrive sont examinées pour déterminer si les accès internes et externes correspondent aux besoins de l'organisation.
Les applications connectées
L'audit permet de revoir les autorisations d'applications et les consentements administrateurs.
Les journaux et les alertes
Un point essentiel consiste à vérifier si les événements importants sont effectivement enregistrés, accessibles et traités.
Les procédures de réponse
Enfin, un audit sérieux doit également examiner la capacité de l'entreprise à gérer un incident. Qui reçoit les alertes ? Qui peut bloquer un compte ? Qui coordonne l'investigation ? Comment les accès sont-ils rétablis ? Comment les décisions sont-elles documentées ? Un audit ne doit pas simplement produire une liste interminable de paramètres techniques.
Il doit aboutir à une vision compréhensible des risques, un plan d'action priorisé et des recommandations adaptées à l'activité de l'entreprise.
Checklist : 20 contrôles pour évaluer la sécurité de Microsoft 365
Cette liste constitue un point de départ pour une revue de sécurité. Elle ne remplace pas une investigation ni un audit complet.
Identités et authentification
Messagerie et Exchange Online
Données et collaboration
Surveillance et réponse aux incidents
Si plusieurs points restent sans réponse, une revue de sécurité peut être utile pour identifier les priorités et éviter des investissements mal ciblés.
Quelles sont les priorités de cybersécurité pour une PME suisse ?
Une bonne stratégie de sécurité doit tenir compte de la réalité de l'entreprise. Une société de 12 collaborateurs ne dispose généralement pas des mêmes ressources qu'une organisation de 250 personnes. Cela ne signifie pas qu'elle doit renoncer à une protection sérieuse. Cela implique de prioriser.
Priorité immédiate : réduire les risques les plus évidents
Il faut notamment sécuriser les comptes administrateurs, renforcer l'authentification, corriger les configurations dangereuses, supprimer les accès inutiles et s'assurer que les sauvegardes sont vérifiées. Les transferts externes et les permissions sensibles méritent également une attention particulière.
Priorité à court terme : établir une visibilité
L'étape suivante consiste à vérifier les journaux disponibles, les alertes et leur traitement. Une entreprise devrait être capable d'expliquer comment elle détecterait une compromission de messagerie et qui serait chargé d'intervenir.
Priorité à moyen terme : améliorer la gouvernance
Les procédures d'arrivée et de départ des collaborateurs, la documentation, les contrôles périodiques, les plans de continuité et les exercices d'incident permettent de renforcer durablement la sécurité.
Une approche adaptée aux entreprises de Genève, Vaud et de Suisse romande
Les PME suisses utilisent souvent un mélange de services cloud, d'applications métier, d'infrastructures locales et de solutions hébergées chez différents fournisseurs. La cybersécurité doit tenir compte de cet ensemble. Un audit limité aux antivirus ou à Microsoft 365 pourrait ignorer des dépendances essentielles, comme les accès VPN, les serveurs, les applications sectorielles ou les sauvegardes.
La sécurité doit donc être envisagée comme un sujet global d'infrastructure, d'identités, de données et de fonctionnement métier.
FAQ : piratage Microsoft 365 et cybersécurité des PME
Comment savoir si mon compte Microsoft 365 a été piraté ?
Des connexions inhabituelles, des règles Outlook inconnues, des e-mails envoyés sans votre intervention ou des modifications d'authentification inexpliquées peuvent constituer des indices. Une vérification des journaux et des paramètres du compte est nécessaire pour confirmer la compromission.
Peut-on pirater un compte Microsoft 365 malgré le MFA ?
Oui, certaines attaques peuvent détourner des sessions ou tromper l'utilisateur pendant l'authentification. Le MFA reste essentiel, mais les méthodes résistantes au phishing et les contrôles complémentaires renforcent la protection.
Comment détecter une règle Outlook malveillante ?
Il faut examiner les règles de boîte de réception, les transferts vers des adresses externes et les événements de modification correspondants. L'analyse doit être réalisée dans le contexte de l'activité de l'utilisateur.
Un antivirus peut-il détecter une messagerie compromise ?
Pas systématiquement. Une compromission de compte cloud peut ne pas impliquer de logiciel malveillant sur le poste. La sécurité des identités et la surveillance des activités Microsoft 365 sont donc complémentaires à la protection endpoint.
Que faire si quelqu'un accède à ma boîte Outlook ?
Prévenez immédiatement votre responsable informatique ou votre prestataire. Selon la situation, il faudra contenir les accès, révoquer les sessions, sécuriser l'authentification, rechercher des modifications malveillantes et analyser les activités réalisées.
Une boîte mail peut-elle être surveillée à mon insu ?
Oui, un accès non autorisé ou une configuration frauduleuse de transfert peut permettre la consultation de messages sans interruption visible du service. Les politiques de sécurité et les journaux disponibles aident à identifier ces situations.
Microsoft 365 est-il sécurisé par défaut ?
Microsoft fournit de nombreuses protections, mais leur disponibilité et leur fonctionnement dépendent notamment des licences, des configurations et des politiques de l'organisation. Une revue de sécurité permet de vérifier leur application effective.
Microsoft 365 Business Premium suffit-il pour protéger une PME ?
Il constitue une base intéressante pour de nombreuses PME, notamment grâce à plusieurs fonctionnalités de gestion des identités, des appareils et de sécurité. Mais les licences ne remplacent ni une configuration adaptée, ni une supervision, ni des procédures de réponse aux incidents.
Combien coûte un audit de sécurité Microsoft 365 en Suisse ?
Le coût dépend notamment du nombre de comptes, des licences, de la complexité de l'environnement et du niveau d'investigation demandé. Un audit de configuration n'est pas équivalent à une investigation forensic après une intrusion. Le périmètre doit être défini avant de chiffrer la prestation.
Faut-il disposer d'un SOC pour surveiller Microsoft 365 ?
Pas nécessairement. Plusieurs niveaux de surveillance sont possibles, depuis des alertes correctement configurées et suivies jusqu'à des services MDR ou SOC externalisés. Le choix dépend des risques, des budgets et des engagements attendus.
Une cyberattaque doit-elle obligatoirement être annoncée en Suisse ?
Pas toutes. La LPD prévoit une notification au PFPDT lorsque la violation de la sécurité des données présente vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. D'autres obligations peuvent s'appliquer selon le secteur et le contexte.
Combien de temps faut-il pour détecter une compromission ?
Il n'existe pas de délai universel. Il dépend de la nature de l'attaque, des événements observables, des outils activés et de l'organisation de la surveillance. L'important est de définir des objectifs réalistes de détection et de traitement adaptés aux incidents critiques.
Comment Sunitech accompagne les PME dans la sécurisation de leur informatique
La sécurité informatique ne devrait pas se limiter à l'installation d'un antivirus ou à l'activation de quelques options Microsoft 365. Pour protéger efficacement une entreprise, il faut comprendre son environnement, ses usages, ses dépendances et les risques associés. Chez Sunitech, nous accompagnons les PME de Genève, du canton de Vaud et de Suisse romande dans la gestion, la sécurisation et l'évolution de leurs systèmes informatiques.
Notre approche associe les compétences d'administration système et réseau, la maîtrise des environnements Microsoft 365 et une vision globale de la continuité d'activité. Selon les besoins identifiés, cet accompagnement peut porter sur :
L'audit de sécurité Microsoft 365
Revue des identités, des accès, des configurations de messagerie, des droits de partage et des mécanismes de protection de votre environnement Microsoft 365.
Le renforcement des configurations
Mise en place de mesures adaptées concernant l'authentification, les privilèges, les politiques de sécurité et les accès distants.
La supervision et la gestion des risques
Identification des points de surveillance nécessaires, organisation du traitement des alertes et amélioration progressive de la visibilité.
La protection des postes et des infrastructures
Sécurisation des ordinateurs, serveurs, réseaux et accès, en tenant compte des environnements locaux, cloud et hybrides, dans le cadre de notre accompagnement en cybersécurité.
La sauvegarde et la continuité d'activité
Analyse des besoins de restauration, protection des données et préparation aux incidents susceptibles de perturber les opérations.
L'accompagnement et le conseil IT
Priorisation des investissements, documentation, gouvernance et définition d'une stratégie de sécurité cohérente avec les moyens de l'entreprise. Notre objectif n'est pas de multiplier les produits ou de complexifier inutilement les infrastructures. Il est d'aider les dirigeants à comprendre leur exposition, à maîtriser leurs risques et à disposer d'une informatique fiable.
Vous souhaitez vérifier la sécurité de votre environnement Microsoft 365 ?
Vous utilisez Microsoft 365 dans votre entreprise, mais vous ne savez pas précisément quels événements sont surveillés, si les configurations sont adaptées ou comment une compromission serait détectée ? Une évaluation ciblée de votre environnement permet d'identifier les principaux risques et de définir les actions prioritaires.
Parlons de la sécurité de votre informatique.
Conclusion : votre entreprise est-elle réellement protégée ou simplement opérationnelle ?
Une messagerie qui fonctionne n'est pas une preuve de sécurité. Un antivirus silencieux n'est pas une garantie d'absence d'intrusion. Un compte protégé par MFA n'est pas automatiquement invulnérable. Et un ensemble de licences de cybersécurité ne remplace pas une organisation capable de détecter et de traiter les incidents. Les entreprises doivent aujourd'hui dépasser la simple logique de protection technique.
Elles ont besoin de visibilité sur les identités, les accès, les activités sensibles et les menaces potentielles. Cela demande des outils adaptés, mais aussi des compétences, des procédures et une répartition claire des responsabilités.
La question n'est pas seulement de savoir si votre entreprise pourrait être attaquée. C'est de savoir si elle serait capable de reconnaître une attaque en cours.
Car une entreprise qui continue à fonctionner normalement peut tout de même être compromise. Et le temps nécessaire pour le découvrir peut faire toute la différence.
