Un compte Microsoft 365 piraté ne tombe pas en panne. Outlook s'ouvre, Teams fonctionne, et la personne qui s'est connectée à votre place lit les mêmes messages que vous. En Suisse, l'Office fédéral de la cybersécurité (OFCS) a recensé 73 cas de factures manipulées après le piratage d'une messagerie professionnelle au second semestre 2025, contre 49 un an plus tôt. Une victime a perdu 1,5 million de francs (OFCS, rapport semestriel 2025/II, publié le 30 mars 2026).
Microsoft décrit les traces que laisse ce type d'intrusion dans sa procédure de réponse à un compte de messagerie compromis. Cinq d'entre elles se contrôlent sans droits d'administrateur, depuis Outlook, OneDrive et la page Mes connexions de votre compte. Ce guide s'adresse aux dirigeants et aux collaborateurs de PME qui veulent vérifier leur propre compte. L'enquête côté administrateur (journaux, chronologie, obligations de notification) est détaillée dans notre guide Votre entreprise est-elle déjà piratée ?.
Une règle Outlook que vous n'avez pas créée
Commencez par là. Après avoir obtenu l'accès à une boîte aux lettres, les attaquants créent souvent une règle de boîte de réception, constate Microsoft dans son guide d'analyse des règles de transfert suspectes. Deux usages reviennent :
- Copier vos messages vers l'extérieur. La règle transfère automatiquement vos e-mails vers une adresse inconnue. L'OFCS décrit la même technique dans sa fiche sur le piratage d'une messagerie professionnelle : l'attaquant reçoit ainsi une copie de tout ce qui vous arrive.
- Cacher les réponses. La règle déplace certains messages vers un dossier que personne n'ouvre (Notes, Courrier indésirable, Flux RSS), les marque comme lus ou les supprime. Les exemples documentés incluent des règles qui filtrent sur des mots comme « facture » (Microsoft Learn).
Le but est rarement de vous bloquer. Une règle bien placée permet de suivre une conversation avec un client ou un fournisseur, puis d'intercepter la réponse quand une facture arrive. Le rapport de l'OFCS décrit ce scénario : les escrocs analysent la messagerie piratée, puis amènent un partenaire commercial à virer le montant dû sur un IBAN qui leur appartient (OFCS).
Où vérifier
- Nouvel Outlook et Outlook sur le web : Paramètres, puis Courrier, puis Règles (Microsoft Support). Dans les mêmes paramètres, la rubrique de transfert du courrier indique si vos e-mails partent automatiquement vers une autre adresse.
- Outlook classique sur Windows : Fichier, puis Gérer les règles et alertes. Un transfert configuré depuis le web n'y apparaît pas : ouvrez aussi Outlook sur le web (outlook.office.com) et vérifiez la rubrique de transfert dans les paramètres de courrier.
Ce qui doit alerter : une adresse externe dans une règle, une règle qui supprime ou marque comme lu, un nom de règle qui ne veut rien dire, des mots-clés comme « facture », « paiement » ou « virement ». Une règle n'est pas une preuve à elle seule, car un ancien assistant ou votre prestataire a pu la créer. Le signal, c'est une règle que personne ne sait expliquer.
Si vous trouvez une règle suspecte
Faites une capture d'écran, puis supprimez-la : l'OFCS recommande de supprimer immédiatement une règle qui redirige vos courriels. La capture garde la trace dont votre responsable informatique aura besoin. Il devra aussi rechercher les règles masquées, qu'Outlook n'affiche pas (Microsoft Learn). Changer d'ordinateur ou réinstaller Outlook n'y change rien : les règles sont stockées dans la boîte aux lettres et se resynchronisent sur chaque nouvelle installation (Microsoft Learn).
Côté entreprise, l'administrateur peut interdire le transfert automatique vers l'extérieur pour tous les comptes d'Exchange Online, un paramètre que Microsoft conseille de régler explicitement plutôt que de le laisser sur automatique (Microsoft Learn).
Une connexion depuis un lieu ou un appareil inconnu
Votre compte garde l'historique de ses connexions, et vous pouvez le consulter vous-même. Sur la page Mes connexions, la rubrique Activité récente affiche les connexions de votre compte professionnel avec leur emplacement approximatif. Des connexions inconnues peuvent signifier qu'une personne malveillante a eu accès à votre compte (Microsoft Support). Attendez-vous à une vérification en deux étapes à l'ouverture de la page : Microsoft l'exige depuis août 2025 pour accéder à Mes connexions (Microsoft Learn).
Lisez les résultats avec discernement. L'emplacement est déduit de l'adresse IP, si bien qu'un VPN, un réseau mobile ou le wifi d'un hôtel peut afficher une autre ville. Une connexion à Zurich alors que vous étiez à Lausanne n'a rien d'alarmant. Une connexion réussie depuis un pays où personne de l'entreprise ne se trouvait, ou depuis un navigateur que vous n'utilisez pas, doit être signalée. La même page signale un autre cas : une tentative qui a franchi le mot de passe mais échoué à la vérification en deux étapes, signe que quelqu'un connaît probablement votre mot de passe (Microsoft Support).
Une demande MFA que vous n'avez pas déclenchée
La vérification en deux étapes, ou MFA (authentification multifacteur), vous demande de confirmer chaque connexion, le plus souvent par une notification de l'application Microsoft Authenticator sur votre téléphone. Une notification qui arrive alors que vous ne vous connectez à rien est un signal urgent. Pour l'agence américaine de cybersécurité CISA, des demandes MFA refusées peuvent indiquer que le mot de passe de l'utilisateur est compromis (CISA, en anglais). Certains attaquants envoient des notifications en rafale, jusqu'à ce que quelqu'un approuve pour avoir la paix.
Microsoft applique la correspondance de nombres à toutes les notifications Authenticator : vous devez saisir sur le téléphone un nombre affiché sur l'écran de connexion. Si votre téléphone vous demande un nombre que vous ne voyez nulle part, la tentative ne vient pas de vous. Refusez-la. Et ne saisissez ni ne communiquez jamais un nombre ou un code qu'une personne vous transmet par téléphone ou par message : l'OFCS rappelle que la vérification en deux étapes peut être déjouée par l'ingénierie sociale (OFCS).
Si votre entreprise a activé la fonction de signalement d'activité suspecte, utilisez-la : le compte est alors classé à risque élevé (Microsoft Learn). Changez ensuite votre mot de passe et prévenez votre responsable informatique. Pour comprendre comment ces attaques contournent la vérification en deux étapes, lisez MFA activé : êtes-vous vraiment protégé ?
Des messages envoyés que vous n'avez jamais écrits
Si un client vous demande pourquoi vous lui avez envoyé un lien étrange, prenez-le au sérieux. Les attaquants utilisent souvent la boîte aux lettres compromise pour écrire à des destinataires internes et externes (Microsoft Learn). L'OFCS décrit un hameçonnage en chaîne : dès qu'un compte est compromis, des courriels d'hameçonnage partent vers tous les contacts de son carnet d'adresses (OFCS, rapport semestriel 2025/II).
Trois indices à chercher :
- Des messages inconnus dans Éléments envoyés ou Éléments supprimés, par exemple une demande d'argent urgente que vous n'avez jamais écrite. Leur absence ne prouve rien : l'attaquant peut les effacer.
- Une signature ou un nom modifiés. La liste des symptômes publiée par Microsoft comprend une signature d'e-mail suspecte et des changements de nom ou de numéro de téléphone dans l'annuaire de l'entreprise (Microsoft Learn).
- Plus aucun envoi possible. Microsoft 365 bloque l'envoi d'un compte qui dépasse les limites d'envoi, un indicateur de compte compromis. Vous recevez encore des e-mails, mais vos messages reviennent avec une erreur qui contient le code 5.1.8 (Microsoft Learn). Selon le réglage de l'entreprise, l'envoi revient seul le lendemain ou après un déblocage par l'administrateur (Microsoft Learn). Dans les deux cas, un envoi qui refonctionne ne prouve pas que le compte a été nettoyé.
Une méthode de connexion ajoutée ou un mot de passe changé sans vous
Un attaquant qui veut garder l'accès enregistre souvent sa propre méthode de vérification. La procédure de nettoyage de Microsoft prévoit d'ailleurs de supprimer les méthodes MFA non reconnues et les appareils ajoutés par l'attaquant (Microsoft Learn). Vous pouvez faire le premier contrôle : la page Informations de sécurité liste les méthodes enregistrées sur votre compte, comme un numéro de téléphone, une application Authenticator ou une clé de sécurité.
Ce qui doit alerter : un numéro que vous ne connaissez pas, une application Authenticator sur un téléphone qui n'est pas le vôtre, une méthode par défaut qui a changé. Une méthode enregistrée par l'attaquant lui sert à valider ses propres connexions. Si la réinitialisation en libre-service est activée dans votre entreprise, elle peut aussi lui permettre de changer votre mot de passe par le lien « Mot de passe oublié », car les mêmes méthodes servent aux deux (Microsoft Learn).
Le mot de passe donne un autre indice. Des changements de mot de passe fréquents ou des verrouillages de compte inexpliqués figurent parmi les symptômes documentés (Microsoft Learn). Si votre mot de passe ne fonctionne plus alors que vous ne l'avez pas modifié, ne tentez pas de reprendre la main seul : appelez votre responsable informatique, qui vérifiera aussi le compte dans Microsoft Entra ID.
Des partages ou des applications que vous ne reconnaissez pas
Un compte compromis n'ouvre pas que la messagerie : l'attaquant peut aussi accéder aux dossiers SharePoint et aux fichiers du OneDrive de l'utilisateur (Microsoft Learn).
Les partages. Dans OneDrive sur le web, la vue Partagé liste les fichiers que vous avez partagés, et l'option Gérer l'accès montre qui peut les ouvrir (Microsoft Support). Un dossier entier partagé avec une adresse inconnue, ou un lien ouvert à tous que vous n'avez pas créé, doit être expliqué.
Les applications. Certaines attaques se passent de votre mot de passe : elles vous font accepter une application qui demande l'accès à vos e-mails ou à vos fichiers. Une fois ce consentement donné, l'application accède aux données au niveau du compte, et une réinitialisation du mot de passe ne la déconnecte pas (Microsoft Learn). La même documentation invite les utilisateurs à vérifier leurs accès sur la page Mes applications. Une application que vous ne connaissez pas, surtout si elle lit votre courrier, est à signaler.
Les 5 vérifications en un coup d'œil
Ces contrôles ne demandent aucun droit d'administrateur. Chacun porte sur votre propre compte.
| Signe | Où regarder | Ce qui doit alerter |
|---|---|---|
| 1. Règle Outlook | Outlook sur le web : Paramètres, Courrier, Règles et Transfert | Transfert vers une adresse externe, suppression, déplacement vers Notes ou Flux RSS |
| 2. Connexion inhabituelle | mysignins.microsoft.com, Activité récente ; notifications Authenticator | Pays ou appareil inconnu, demande MFA que vous n'avez pas déclenchée |
| 3. Messages jamais écrits | Éléments envoyés, Éléments supprimés, signature | Messages inconnus, contacts qui s'étonnent, envoi bloqué (code 5.1.8) |
| 4. Méthode ajoutée | mysignins.microsoft.com, Informations de sécurité | Numéro, application ou clé inconnus ; mot de passe qui ne fonctionne plus |
| 5. Partage ou application | OneDrive, vue Partagé ; myapps.microsoft.com | Partage vers une adresse inconnue, application qui lit vos e-mails |
Un signe apparaît : que faire dans la première heure ?
Appelez votre responsable informatique ou votre prestataire, par téléphone. Pas par e-mail : si votre boîte est compromise, l'attaquant peut lire votre message ou le supprimer. C'est aussi pourquoi Microsoft déconseille d'envoyer un nouveau mot de passe par e-mail à l'utilisateur concerné (Microsoft Learn). En attendant, cinq gestes :
- Refusez toute demande MFA que vous n'avez pas déclenchée.
- Changez votre mot de passe depuis un appareil de confiance, si votre responsable informatique ne l'a pas déjà fait.
- Gardez une capture d'écran de ce que vous avez vu (règle, connexion, méthode, partage), puis supprimez la règle de transfert suspecte, comme le recommande l'OFCS.
- Si un paiement est déjà parti, appelez votre banque immédiatement (OFCS). Confirmez par téléphone, à un numéro que vous connaissez déjà, toute demande de changement de coordonnées bancaires.
- Prévenez vos contacts si des messages frauduleux sont partis de votre adresse (OFCS).
Pourquoi changer le mot de passe ne suffit pas
Un nouveau mot de passe ne retire ni les règles, ni les méthodes MFA ajoutées, ni les applications autorisées. La procédure de Microsoft pour l'administrateur (Microsoft Learn) comprend notamment :
- désactiver le compte pendant l'examen ;
- révoquer les sessions actives ;
- supprimer les règles, transferts, méthodes et applications suspectes ;
- consulter les journaux d'audit ;
- débloquer l'envoi si le compte a été restreint.
La même procédure précise que les mots de passe d'application ne sont pas révoqués par une réinitialisation. L'OFCS recommande aussi de faire analyser l'environnement informatique et de porter plainte auprès de la police locale (OFCS). Vous pouvez signaler l'incident à l'OFCS par son formulaire en ligne. Le plan d'intervention complet, en dix étapes, figure dans notre guide Votre entreprise est-elle déjà piratée ?
Ce que ces vérifications ne montrent pas
Cette liste reprend les symptômes que Microsoft documente pour un compte de messagerie compromis et ne retient que ceux qu'un utilisateur peut contrôler seul. Elle a une limite : un attaquant prudent peut lire vos e-mails sans rien modifier. Ce sont surtout les journaux de connexion et d'audit, consultables par un administrateur, qui peuvent le montrer, et ils ne sont conservés que pendant une durée limitée. Ne trouver aucun signe ne prouve donc pas qu'un compte est sain.
Questions fréquentes
Le MFA ne me protège-t-il pas déjà ?
La vérification en deux étapes bloque l'essentiel des attaques sur les identités : selon le Microsoft Digital Defense Report 2025, elle peut en bloquer plus de 99 % (Microsoft, en anglais). Elle peut toutefois être déjouée par l'ingénierie sociale (OFCS, rapport semestriel 2025/II). Microsoft a par exemple décrit une campagne d'hameçonnage par code d'appareil, déguisée en invitation à une réunion Teams, qui récupère des jetons de connexion (l'équivalent d'une session déjà ouverte) sans voler de mot de passe (Microsoft Threat Intelligence, en anglais).
Mon compte n'envoie plus d'e-mails. Est-ce forcément un piratage ?
Pas forcément, mais c'est un signal fort : pour Microsoft, un expéditeur qui dépasse la limite de messages sortants est un indicateur de compte compromis (Microsoft Learn). Par défaut, l'envoi est bloqué jusqu'au lendemain, puis revient de lui-même (Microsoft Learn) : ce retour ne prouve pas que le compte est sain. Appelez votre responsable informatique, qui doit nettoyer le compte avant tout déblocage.
Qui doit faire ces vérifications dans une PME ?
Chaque personne peut contrôler son propre compte en suivant les cinq points ci-dessus. Le contrôle de tous les comptes, des réglages de l'entreprise et des journaux revient à l'administrateur Microsoft 365 ou au prestataire informatique. Les comptes de la direction et de la comptabilité méritent d'être vérifiés en premier, car ce sont leurs échanges que les fraudes au paiement exploitent.
Faire vérifier tous les comptes de l'entreprise
Ces cinq contrôles portent sur un compte : le vôtre. Pour l'ensemble de l'entreprise, le check-up sécurité Microsoft 365 de Sunitech passe en revue les comptes et les accès (MFA, comptes administrateur, comptes inactifs, invités), les règles de transfert suspectes, la protection contre l'hameçonnage et les fichiers partagés à l'extérieur. Il se fait avec un accès en lecture seule, en cinq jours ouvrés, pour CHF 490 HT, et se termine par un rapport en français et un plan d'action priorisé. Pour une question sur un compte précis, vous pouvez aussi nous contacter.
