Compte Microsoft 365 piraté : l'ordre qui sauve tout (et celui qui aggrave tout)

Un client t'appelle, un peu paniqué : "On m'a piraté ma boîte mail, je crois." Tu as quarante-cinq minutes devant toi avant que ça devienne vraiment grave. Et il y a un geste que ton cerveau va vouloir faire en premier, instinctivement, parce qu'il paraît évident. Ce geste-là est une erreur. On va voir pourquoi, et surtout ce qu'il faut faire à la place — dans le bon ordre, parce que l'ordre, ici, n'est pas un détail de présentation.

Pourquoi un mot de passe volé ne suffit jamais à tout expliquer

Quand un compte Microsoft 365 se retrouve entre de mauvaises mains, la première question qu'on se pose, c'est "comment il est entré ?" Et c'est la bonne question, parce que si tu ne réponds pas, tu répares un symptôme sans toucher à la cause. Le compte peut se faire reprendre le lendemain par la même porte.

Concrètement, il y a trois grandes façons d'entrer : le mot de passe a fuité ou a été volé par un mail piégé, la double authentification a été contournée, ou une application tierce a obtenu un accès permanent à la boîte sans que personne ne s'en inquiète vraiment le jour où elle a demandé la permission.

Le deuxième point qui surprend, c'est la double authentification. Beaucoup de gens — et beaucoup de techniciens débutants aussi — considèrent que MFA activé veut dire compte inviolable. C'est faux, et c'est important de le savoir avant d'investiguer, sinon tu écartes une piste qui est en fait la bonne.

Les règles automatiques qu'on ne voit jamais passer

Voici un réflexe d'attaquant que personne n'imagine spontanément : une fois dans la boîte, il ne se contente pas de lire les mails. Il crée des règles automatiques, invisibles, qui font le travail à sa place pendant qu'il n'est même plus connecté.

Une règle qui supprime tous les mails contenant le mot "facture". Une autre qui redirige en silence les messages d'une direction vers une adresse extérieure. L'utilisateur ne voit rien d'anormal dans sa boîte, et pourtant, une partie de sa correspondance part ailleurs, ou disparaît avant même d'être lue.

Et voilà le retournement qui dérange : ces règles survivent au changement de mot de passe. Elles ne dépendent pas du mot de passe, elles dépendent de la configuration de la boîte. Tant que personne ne va les chercher et ne les supprime explicitement, elles continuent de tourner, sagement, en arrière-plan.

L'accès qui ne demande même plus la permission

Il y a une troisième forme de persistance, encore moins visible, et c'est probablement la plus sous-estimée de toutes : le consentement donné un jour à une application tierce.

Un jour, quelqu'un a cliqué "autoriser" sur une application qui demandait à lire ou écrire dans la messagerie — un client mail alternatif, un outil de migration, n'importe quoi. Cette autorisation reste active indéfiniment, jusqu'à ce qu'elle soit révoquée à la main. Si un attaquant a fait créer ou installer une application de ce type, il garde un accès qui ne dépend ni du mot de passe, ni même de la session de connexion classique.

L'ordre des opérations, celui qu'on a tendance à inverser

Maintenant qu'on sait par où l'attaquant peut être entré et comment il peut rester, reste la question qui fait toute la différence sur le terrain : par quoi commencer ?

Le réflexe naturel, presque tout le monde l'a : changer le mot de passe en premier. Ça paraît être le geste le plus "sécurisant" qui existe. Et c'est précisément l'erreur.

L'ordre qui fonctionne, c'est l'inverse de l'intuition : on coupe l'accès avant de toucher au mot de passe. Concrètement, trois étapes, toujours dans le même sens.

1. Bloquer la connexion du compte. Avant tout le reste. Le compte ne peut plus se connecter, point. L'attaquant, s'il est encore actif, perd l'accès immédiatement sans qu'on ait besoin de "réveiller" sa vigilance avec un changement visible.
2. Révoquer toutes les sessions actives. Si une session était déjà ouverte ailleurs (chez l'attaquant), elle est coupée tout de suite, même si elle ne demandait plus de mot de passe pour rester active.
3. Réinitialiser le mot de passe. Seulement maintenant. À ce stade, le changement de mot de passe ne fait que verrouiller une porte qui était déjà fermée à clé une minute plus tôt.

Une fois ces trois gestes faits, le plus dur n'est pas terminé : il reste à vérifier les journaux de connexion pour repérer les pays et applications inhabituels, fouiller les règles de la boîte mail à la recherche de redirections ou de suppressions automatiques suspectes, et passer en revue les applications tierces qui ont un accès actif à la messagerie. C'est cette étape d'investigation qui distingue "j'ai changé le mot de passe" de "j'ai vraiment refermé toutes les portes".

La tentation de clôturer trop vite

Une fois les trois gestes faits et l'investigation terminée, vient une dernière tentation : considérer que c'est réglé. Tout a l'air propre, le client est content, on passe au dossier suivant.

C'est là qu'on referme la boucle posée au début de cet article. Le geste qui paraît le plus rassurant — clôturer le dossier rapidement — est justement celui qui laisse le plus de marge à un retour discret de l'attaquant.

La bonne pratique, c'est de garder un œil sur les connexions pendant deux bonnes semaines après l'incident, pas vingt-quatre heures. Ce n'est pas une norme gravée dans le marbre, mais c'est le plancher raisonnable que recommandent les retours d'expérience sur ce type d'incident.

Et puisqu'on parle d'un sujet qui n'aime pas l'improvisation : un système qu'on répare au feeling, c'est un système qu'on répare deux fois.

Ce que tu fais en vrai, concrètement

• Mémorise l'ordre B.R.R. Bloquer, révoquer, réinitialiser. Le réciter avant d'agir évite l'erreur la plus fréquente sur ce type d'incident.
• Vérifie systématiquement les règles de la boîte mail après tout changement de mot de passe lié à un soupçon de compromission. Une règle qui supprime, transfère ou redirige automatiquement est suspecte jusqu'à preuve du contraire.
• Va jeter un œil aux applications tierces autorisées sur le compte concerné, même si tout semble réglé. C'est l'endroit où la plupart des techniciens ne pensent pas à regarder.
• Ne clôture jamais un dossier de ce type à J+1. Note une date de relecture des journaux de connexion à une semaine, puis à deux semaines.
• Prends cinq minutes pour t'entraîner avant que ça arrive en vrai. Va lire à quoi ressemble un journal de connexion ou une liste de règles de boîte mail sur un compte de test. Le jour où tu en as besoin en urgence, ce ne sera pas la première fois que tu regardes ce genre d'écran.

Et c'est là qu'on rejoint l'idée du début. Le geste qui paraît le plus rassurant n'est pas toujours celui qui protège vraiment. Une fois qu'on a vu cet ordre une fois, qu'on l'a appliqué une fois sur un vrai dossier ou même juste répété à voix haute avant d'intervenir, on ne revient plus jamais au réflexe naturel. Tu fais partie de ceux qui, maintenant, coupent avant de réparer.

Sources

• Microsoft — Playbook de réponse à un compte ou une application compromise
• Microsoft — Détecter et corriger les consentements OAuth frauduleux
• Microsoft Tech Community — Du vol de session à la fraude par email professionnel
• Microsoft Entra — Comprendre les journaux de connexion