Réponses Microsoft 365 › Ma boîte mail Microsoft 365 a été piratée : que faire ?
Ma boîte mail Microsoft 365 a été piratée : que faire ?
Changez immédiatement le mot de passe du compte, déconnectez toutes ses sessions et activez la double authentification, puis cherchez ce que l'attaquant a laissé derrière lui : règles de transfert, règles de boîte de réception, applications autorisées. Microsoft décrit cette procédure dans sa fiche de réponse à un compte de messagerie compromis, et Cybermalveillance.gouv.fr recommande de déposer plainte et de prévenir vos contacts.
Les étapes
- Réinitialisez le mot de passe du compte depuis le centre d'administration, et non depuis le compte lui-même.
- Révoquez les sessions actives de l'utilisateur pour couper l'accès déjà ouvert par l'attaquant.
- Activez ou exigez la double authentification sur ce compte, puis sur tous les comptes.
- Supprimez les règles de boîte de réception et les transferts que vous n'avez pas créés : ce sont les traces les plus fréquentes d'une compromission.
- Vérifiez dans le journal d'audit ce que le compte a fait pendant la période suspecte (connexions, envois, accès aux fichiers).
- Prévenez vos contacts qu'ils ont pu recevoir des messages frauduleux en votre nom, et déposez plainte.
- Si des données personnelles ont été exposées, évaluez l'obligation de notifier la CNIL dans les 72 heures.
Ce que disent les sources officielles
- Microsoft liste les symptômes d'un compte compromis (règles de transfert ajoutées, envois inhabituels, blocage d'envoi) et la procédure pour le sécuriser.Source : Microsoft Learn, « Répondre à un compte de messagerie compromis »
- Cybermalveillance.gouv.fr publie une fiche réflexe sur le piratage de compte : changer le mot de passe, vérifier les paramètres, prévenir ses contacts, déposer plainte.Source : Cybermalveillance.gouv.fr, fiche réflexe « Piratage de compte »
- Une violation de données personnelles doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance, lorsqu'elle présente un risque pour les personnes.Source : CNIL, « Violations de données personnelles : les règles à suivre »
- Le journal d'audit unifié de Microsoft 365 enregistre l'activité des utilisateurs et des administrateurs ; Microsoft explique comment vérifier qu'il est activé.Source : Microsoft Learn, « Activer ou désactiver l'audit »
Ce qu'on ne peut pas savoir sans mesurer
Sans mesurer votre tenant, personne ne peut dire si d'autres comptes sont touchés, si une règle de transfert discrète est encore active ailleurs, ni si le journal d'audit était activé au moment de l'attaque (s'il ne l'était pas, l'historique n'existe pas).