Réponses Microsoft 365 › Des mails sont envoyés depuis mon adresse à mon insu : pourquoi, et que faire ?
Des mails sont envoyés depuis mon adresse à mon insu : pourquoi, et que faire ?
Il y a deux causes possibles, à distinguer avant d'agir : soit votre compte est réellement utilisé par un tiers (compromission), soit quelqu'un usurpe votre adresse sans accéder à votre compte, parce que votre domaine n'est pas protégé par SPF, DKIM et DMARC. Le dossier « Éléments envoyés » et le journal d'audit tranchent la première hypothèse ; les enregistrements DNS publics de votre domaine tranchent la seconde.
Les étapes
- Regardez le dossier « Éléments envoyés » : si les messages y figurent, le compte est utilisé, appliquez la procédure de compte piraté.
- S'ils n'y figurent pas, l'adresse est probablement usurpée : vérifiez que votre domaine publie un enregistrement SPF, une signature DKIM et une politique DMARC.
- Passez progressivement DMARC de la valeur « none » à « quarantine » puis « reject » une fois les envois légitimes recensés.
- Demandez à un destinataire l'en-tête complet d'un message reçu : il indique le serveur réellement à l'origine de l'envoi.
- Prévenez vos contacts, et signalez les messages frauduleux.
Ce que disent les sources officielles
- Microsoft explique comment SPF, DKIM et DMARC permettent aux serveurs destinataires de reconnaître les messages qui usurpent votre domaine.Source : Microsoft Learn, « Authentification des e-mails dans Microsoft 365 »
- Microsoft 365 limite les envois sortants et peut bloquer un compte qui envoie du courrier indésirable, signe fréquent d'un compte compromis.Source : Microsoft Learn, « Protection contre le courrier indésirable sortant »
- Cybermalveillance.gouv.fr décrit l'hameçonnage et les bons réflexes face à un message frauduleux.Source : Cybermalveillance.gouv.fr, fiche réflexe « Hameçonnage »
Ce qu'on ne peut pas savoir sans mesurer
La configuration SPF, DKIM et DMARC de votre domaine est publique et se lit en quelques secondes ; en revanche, savoir si un compte de votre tenant est utilisé par un tiers exige de lire les connexions et le journal d'audit, ce qu'aucun outil extérieur ne peut faire.