Que faire si un compte Microsoft 365 a été piraté ?

Compte Microsoft 365 piraté : pourquoi agir vite ?

Lorsqu’un compte Microsoft 365 est piraté, l’attaquant peut accéder à plusieurs services : Exchange, OneDrive, SharePoint, Teams, contacts, calendrier et parfois applications connectées. Il peut aussi modifier des règles de messagerie, consulter des documents, envoyer des e-mails frauduleux ou préparer une attaque plus large.

Le danger ne se limite donc pas au compte lui-même. Un compte Microsoft 365 compromis peut devenir un point d’entrée vers les données de l’entreprise, les clients, les fournisseurs ou les collaborateurs.

Après un incident, un audit sécurité Microsoft 365 permet de vérifier si d’autres comptes, règles, partages ou paramètres ont été touchés.

Les signes d’un compte Microsoft 365 compromis

Certains signes doivent alerter rapidement. Ils ne prouvent pas toujours une compromission, mais ils justifient une vérification immédiate.

• L’utilisateur ne peut plus se connecter à son compte.
• Des e-mails ont été envoyés sans son accord.
• Des règles de boîte aux lettres inconnues sont présentes.
• Des messages disparaissent ou sont déplacés automatiquement.
• Des connexions apparaissent depuis des lieux inhabituels.
• Des fichiers OneDrive ou SharePoint ont été consultés ou partagés.
• Des clients ou fournisseurs signalent des demandes suspectes.
• Le MFA a été modifié ou une nouvelle méthode a été ajoutée.

Étape 1 : bloquer immédiatement l’accès au compte

La première action consiste à empêcher l’attaquant de continuer à utiliser le compte. Selon la situation, il peut être nécessaire de bloquer temporairement la connexion, de réinitialiser le mot de passe et de révoquer les sessions actives.

Cette étape doit être réalisée rapidement, surtout si le compte compromis appartient à un administrateur, un dirigeant, une personne du service comptable ou un utilisateur ayant accès à des données sensibles.

• Bloquer temporairement le compte si nécessaire.
• Réinitialiser le mot de passe avec un mot de passe fort.
• Révoquer les sessions ouvertes sur les appareils connectés.
• Vérifier les méthodes MFA associées au compte.
• Supprimer toute méthode d’authentification inconnue.

Étape 2 : vérifier et renforcer le MFA

Si le MFA n’était pas activé, il doit être mis en place rapidement. Si le MFA était déjà actif, il faut vérifier qu’une méthode frauduleuse n’a pas été ajoutée et que les méthodes existantes sont bien maîtrisées.

Le MFA doit être prioritaire sur les comptes sensibles : administrateurs, direction, comptabilité, RH, comptes ayant accès aux données clients et utilisateurs exposés à de nombreux échanges externes.

• Contrôler les méthodes MFA enregistrées.
• Supprimer les méthodes inconnues ou suspectes.
• Vérifier les numéros de téléphone et applications d’authentification.
• Activer le MFA sur les comptes sensibles.
• Éviter les exceptions permanentes sans justification.

Étape 3 : contrôler les règles de messagerie

Après une compromission, il faut vérifier les règles de boîte aux lettres. Un attaquant peut créer des règles pour masquer ses actions, supprimer certains messages, archiver automatiquement des réponses ou transférer des e-mails vers une adresse externe.

Cette vérification est essentielle dans les cas de phishing, fraude au président, fraude au changement de RIB ou usurpation d’identité.

• Rechercher les règles de transfert automatique.
• Vérifier les redirections vers des adresses externes.
• Contrôler les règles qui suppriment ou déplacent des messages.
• Vérifier les règles masquant certains expéditeurs ou mots-clés.
• Supprimer toute règle inconnue ou non justifiée.

Étape 4 : analyser les connexions suspectes

Il faut ensuite analyser les connexions récentes au compte. L’objectif est de comprendre quand l’accès frauduleux a commencé, depuis quels lieux, quels appareils ou quelles adresses IP, et si d’autres comptes semblent concernés.

Cette analyse aide à mesurer l’étendue de l’incident. Elle permet aussi de savoir si l’attaquant a seulement tenté de se connecter ou s’il a réellement utilisé le compte.

• Identifier les pays ou adresses IP inhabituels.
• Repérer les connexions réussies et échouées.
• Vérifier les heures d’accès suspectes.
• Contrôler les appareils ou navigateurs inconnus.
• Comparer avec les habitudes normales de l’utilisateur.

Étape 5 : vérifier les fichiers OneDrive, SharePoint et Teams

Un compte Microsoft 365 piraté peut donner accès à des fichiers stockés dans OneDrive, SharePoint ou Teams. Il faut donc vérifier si des documents sensibles ont été consultés, téléchargés, modifiés ou partagés.

Ce point est particulièrement important si l’utilisateur a accès à des données clients, RH, financières, juridiques, médicales, contractuelles ou commerciales.

• Vérifier les partages récents créés par le compte.
• Contrôler les liens externes OneDrive et SharePoint.
• Identifier les fichiers sensibles potentiellement exposés.
• Révoquer les liens de partage suspects.
• Vérifier les accès invités dans Teams et SharePoint.

Si des données personnelles sont concernées, il peut être utile de compléter l’analyse avec un audit conformité RGPD orienté mesures techniques.

Étape 6 : vérifier les autres comptes de l’entreprise

Une compromission peut ne pas concerner un seul compte. L’attaquant peut avoir envoyé des messages à d’autres collaborateurs, récupéré des contacts internes ou tenté de rebondir vers d’autres accès.

Il faut donc vérifier les comptes similaires : direction, comptabilité, administrateurs, comptes partagés, boîtes génériques et utilisateurs ayant reçu des e-mails suspects.

• Contrôler les comptes administrateurs Microsoft 365.
• Vérifier les comptes de direction et comptabilité.
• Analyser les boîtes partagées sensibles.
• Rechercher d’autres règles de transfert inconnues.
• Vérifier si plusieurs comptes ont eu des connexions suspectes.

Étape 7 : prévenir les personnes concernées

Si des e-mails frauduleux ont été envoyés depuis le compte, il est important de prévenir les destinataires. Cela peut éviter qu’un client, fournisseur ou collaborateur clique sur un lien, ouvre une pièce jointe ou effectue un paiement frauduleux.

Le message doit être clair, court et factuel. Il faut indiquer qu’un message précédent ne doit pas être pris en compte et demander de ne pas cliquer sur les liens ou pièces jointes concernés.

• Prévenir les collaborateurs internes.
• Informer les clients ou fournisseurs exposés si nécessaire.
• Signaler les e-mails frauduleux envoyés.
• Demander de ne pas ouvrir les liens ou pièces jointes.
• Surveiller les demandes de changement de RIB ou de paiement.

Étape 8 : documenter l’incident

Même si l’incident semble résolu, il est important de garder une trace des actions réalisées. Cette documentation peut être utile pour la direction, l’assurance cyber, un client, un partenaire, un DPO ou une analyse interne.

• Date et heure de détection.
• Compte concerné.
• Actions réalisées pour bloquer l’accès.
• Connexions suspectes identifiées.
• Règles de messagerie trouvées.
• Données ou fichiers potentiellement concernés.
• Mesures correctives appliquées.
• Actions de prévention prévues.

Que faire après l’urgence ?

Une fois le compte sécurisé, l’entreprise doit éviter que l’incident se reproduise. Cela passe par une revue plus large de Microsoft 365 et des règles de sécurité.

• Généraliser le MFA sur les comptes sensibles.
• Réduire le nombre d’administrateurs.
• Nettoyer les comptes inactifs.
• Vérifier les partages externes OneDrive et SharePoint.
• Revoir les règles Exchange et les boîtes partagées.
• Mettre en place une surveillance minimale des connexions suspectes.
• Sensibiliser les utilisateurs au phishing.

Pour une vision globale, un audit sécurité informatique PME permet aussi de vérifier le réseau, les postes, les sauvegardes, Active Directory, Microsoft 365 et les accès sensibles.

Quand demander de l’aide ?

Il est préférable de demander de l’aide si le compte compromis est sensible, si plusieurs utilisateurs sont concernés, si des e-mails frauduleux ont été envoyés, si des données personnelles peuvent avoir été consultées ou si vous ne savez pas exactement ce qui a été modifié.

DTSinfo peut vous accompagner pour analyser l’incident, sécuriser Microsoft 365, vérifier les comptes et construire un plan d’action adapté à votre PME.