Compte Microsoft 365 piraté : que faire dans la première heure

Un client vous signale un e-mail étrange envoyé depuis l’adresse d’un collaborateur. Une facture avec un nouveau RIB est partie au nom de votre comptable. Ou une alerte signale une connexion depuis un pays où vous n’avez personne. Un compte Microsoft 365 piraté peut toucher n’importe quelle entreprise, y compris quand l’authentification multifacteur (MFA) est activée. La première heure compte : il faut couper l’accès de l’attaquant, fermer les portes qu’il a laissées ouvertes et conserver de quoi comprendre ce qui s’est passé. Voici l’ordre d’action que nous recommandons aux responsables IT et dirigeants de PME et d’ETI.

Reconnaître un compte Microsoft 365 piraté

Les signes sont rarement spectaculaires. Ceux qui reviennent le plus souvent :

• des messages inconnus dans les Éléments envoyés ou les Éléments supprimés (fausse facture, demande de virement, lien de partage de document) ;
• des règles de boîte de réception suspectes : transfert vers une adresse externe, déplacement automatique des messages vers « Courrier indésirable », « Flux RSS » ou un dossier peu consulté ;
• un transfert de messagerie externe ajouté récemment sur la boîte ;
• une boîte bloquée en envoi par Microsoft après une vague de spam ;
• des connexions réussies depuis des adresses IP, pays ou appareils inhabituels dans les journaux de connexion ;
• une nouvelle méthode MFA enregistrée que l’utilisateur ne reconnaît pas ;
• des changements de mot de passe ou des verrouillages inexpliqués, une signature modifiée.

Une MFA active ne suffit pas à écarter l’hypothèse. Les kits d’hameçonnage de type « adversary-in-the-middle » volent le jeton de session après la validation MFA, et l’attaquant n’a alors plus besoin du mot de passe.

Les étapes immédiates, dans l’ordre

Avant de toucher à quoi que ce soit, ouvrez un document de suivi : heure de chaque action, qui l’a faite, ce qui a été constaté. Il servira à l’enquête, à l’assureur et, le cas échéant, à la CNIL.

1. Bloquer la connexion et révoquer les sessions

Changer le mot de passe ne suffit pas : un attaquant qui détient un jeton valide reste connecté. Commencez donc par :

• Bloquer la connexion du compte : dans le Microsoft Entra admin center (Entra ID > Utilisateurs), décochez « Compte activé » ; ou, dans le Centre d’administration Microsoft 365, utilisez « Bloquer la connexion » sur l’utilisateur.
• Révoquer les sessions : bouton « Revoke sessions » (Révoquer les sessions) sur la fiche de l’utilisateur dans Entra, ou la commande PowerShell Revoke-MgUserSignInSession. Les jetons d’actualisation sont invalidés.

Un jeton d’accès déjà émis peut rester utilisable jusqu’à son expiration (une heure par défaut), sauf pour les applications compatibles avec l’évaluation continue de l’accès (CAE). Le blocage de connexion empêche l’attaquant d’en obtenir de nouveaux. Si le compte est synchronisé depuis un Active Directory local, désactivez-le aussi côté AD.

2. Réinitialiser le mot de passe

Choisissez un mot de passe long et unique, jamais réutilisé, et ne l’envoyez pas par e-mail. Pour un compte synchronisé, Microsoft recommande de le réinitialiser deux fois dans l’Active Directory local. Supprimez aussi les éventuels mots de passe d’application : la réinitialisation ne les révoque pas.

3. Vérifier et réenregistrer les méthodes MFA

Dans Entra, ouvrez les méthodes d’authentification de l’utilisateur. Supprimez tout téléphone, application Authenticator ou clé que la personne ne reconnaît pas. En cas de doute, supprimez toutes les méthodes et faites-les réenregistrer en présence de l’utilisateur, après avoir vérifié son identité par un autre canal que la messagerie.

4. Supprimer les règles de boîte de réception et les transferts

C’est souvent là que l’attaquant laisse sa porte de sortie. Contrôlez :

• le transfert au niveau de la boîte (adresse de transfert, transfert SMTP externe) dans le Centre d’administration Exchange ;
• les règles de boîte de réception, y compris les règles masquées, avec Get-InboxRule -IncludeHidden dans Exchange Online PowerShell ;
• les modifications de signature et de réponse automatique.

Exportez ou capturez chaque règle avant de la supprimer : son contenu (adresse de destination, mots-clés filtrés comme « facture » ou « virement ») renseigne sur l’objectif de l’attaquant.

5. Contrôler les délégations et les applications OAuth

• Délégations : vérifiez les autorisations d’accès complet, « Envoyer en tant que » et « Envoyer de la part de » sur la boîte, ainsi que les accès que ce compte a obtenus sur d’autres boîtes.
• Applications consenties : dans Entra (Applications d’entreprise), repérez les applications auxquelles l’utilisateur a donné son consentement récemment. Une application OAuth malveillante conserve son accès même après le changement de mot de passe : révoquez ses autorisations.

6. Vérifier les droits d’administration

Si le compte compromis possède un rôle d’administrateur, la situation change d’échelle. Vérifiez les rôles Microsoft Entra, les rôles Azure, les autorisations dans Microsoft Purview et dans le portail Microsoft Defender. Recherchez aussi les créations de comptes, les nouvelles applications inscrites et les modifications de stratégies d’accès conditionnel faites pendant la période suspecte.

7. Prévenir les contacts si nécessaire

La trace des messages (Centre d’administration Exchange) montre qui a reçu des e-mails pendant la période suspecte. Prévenez ces destinataires, en particulier clients et fournisseurs, par un canal fiable : un appel à un interlocuteur connu vaut mieux qu’un e-mail qu’on pourrait croire frauduleux. Si Microsoft a bloqué l’envoi, l’utilisateur se débloque depuis la page « Entités restreintes » du portail Microsoft Defender, une fois l’incident maîtrisé.

Ce qu’il ne faut pas faire

• Supprimer le compte ou la boîte aux lettres : vous perdez les éléments qui permettent de comprendre l’attaque et d’en mesurer l’étendue.
• Effacer les messages frauduleux ou les règles sans les avoir documentés.
• Réinstaller ou réinitialiser le poste de l’utilisateur dans la précipitation : isolez-le du réseau, mais conservez-le en l’état si une analyse est envisagée.
• Prévenir l’utilisateur ou les équipes par e-mail sur une messagerie que l’attaquant lit peut-être encore.
• Se contenter du changement de mot de passe sans révoquer les sessions ni vérifier règles et applications.

Conserver les preuves et les journaux

Les journaux Microsoft ne sont pas conservés indéfiniment. Avec Microsoft Entra ID Free, les journaux de connexion et d’audit sont gardés 7 jours ; 30 jours avec Entra ID P1 ou P2. Côté Microsoft Purview, l’audit Standard conserve les événements 180 jours par défaut, et l’audit Premium jusqu’à un an pour les utilisateurs disposant d’une licence E5 ou équivalente. Un passage à une licence supérieure ne récupère pas l’historique déjà expiré.

Dès la première heure, exportez donc :

• les journaux de connexion Entra du compte (adresses IP, localisation, application, résultat) ;
• une recherche d’audit dans le portail Microsoft Purview, sur une période qui démarre avant les premiers signes, sans filtrer par activité ;
• la trace des messages envoyés pendant la période suspecte ;
• les règles, transferts, délégations et consentements constatés, avec captures d’écran horodatées.

Dans le portail Microsoft Defender (Microsoft Defender XDR), les incidents et alertes liés au compte complètent ce tableau si vos licences les couvrent.

Vos obligations après un compte Microsoft 365 piraté

RGPD et notification à la CNIL

Une boîte aux lettres contient presque toujours des données personnelles. Si l’incident présente un risque pour les droits et libertés des personnes, la violation doit être notifiée à la CNIL dans les meilleurs délais, et si possible dans les 72 heures après en avoir pris connaissance. Une notification initiale peut être complétée ensuite, au fil de l’enquête. En cas de risque élevé, les personnes concernées doivent aussi être informées. Dans tous les cas, l’incident doit être documenté en interne, même s’il n’est pas notifié. Le guide de la CNIL sur la notification des violations détaille la démarche.

Dépôt de plainte et assurance

Déposez plainte auprès de la police, de la gendarmerie ou par courrier au procureur de la République. Si vous êtes assuré contre le risque cyber, le code des assurances (article L. 12-10-1) conditionne l’indemnisation d’une cyberattaque à un dépôt de plainte dans les 72 heures suivant la connaissance de l’atteinte : prévenez aussi votre assureur. Le site cybermalveillance.gouv.fr et le service 17Cyber orientent les entreprises victimes vers les bons interlocuteurs.

Prévenir la récidive

Une fois l’urgence passée, plusieurs mesures réduisent nettement le risque :

• MFA résistante à l’hameçonnage : clés de sécurité FIDO2, passkeys, Windows Hello Entreprise ou authentification par certificat, en priorité pour les administrateurs et les fonctions financières.
• Accès conditionnel : exiger un appareil conforme ou un emplacement maîtrisé, et appliquer des politiques fondées sur le risque de connexion. Il nécessite une licence Microsoft Entra ID P1 au minimum.
• Désactivation de l’authentification héritée : ces protocoles ne prennent pas en charge la MFA. Une stratégie d’accès conditionnel ou les paramètres de sécurité par défaut permettent de la bloquer.
• Blocage du transfert externe automatique dans les stratégies anti-spam sortantes, avec des exceptions justifiées.
• Restriction du consentement des utilisateurs aux applications, avec un circuit de validation par l’administrateur.
• Alertes : création de règles de transfert, nouvelles méthodes MFA, connexions à risque, octroi de rôles d’administration.
• Conservation des journaux au-delà des durées par défaut, par export vers un stockage ou un SIEM.

Pour aller plus loin, voyez nos pages expert Entra ID, Exchange Online et migration Exchange hybride et déploiement de Microsoft Defender.

En résumé

Face à un compte Microsoft 365 piraté, l’ordre compte : bloquer et révoquer, réinitialiser, nettoyer MFA, règles, délégations et applications, vérifier les droits d’administration, puis prévenir les bonnes personnes. Conservez tout avant de supprimer quoi que ce soit, et engagez sans attendre les démarches CNIL, plainte et assurance. Si vous avez besoin d’un renfort immédiat, consultez notre page urgence Microsoft 365 ou contactez-nous.