Une boîte mail professionnelle compromise ne s'accompagne pas toujours d'un signe évident. Parfois, le seul indice est un client qui appelle pour signaler qu'il a reçu un email étrange venant soi-disant de vous. Reconnaître les signaux d'alerte rapidement, et savoir dans quel ordre agir, limite considérablement les dégâts d'un piratage de messagerie.
Les signes qui doivent alerter immédiatement
Plusieurs indicateurs, pris isolément ou combinés, méritent une vérification sans délai :
- Des emails envoyés depuis votre boîte que vous n'avez jamais rédigés, visibles dans le dossier « Envoyés ».
- Des règles de transfert ou de filtrage automatique que vous n'avez pas créées, qui redirigent discrètement une copie de vos emails vers une adresse inconnue.
- Une déconnexion impossible ou un mot de passe qui ne fonctionne plus soudainement, alors que vous ne l'avez pas changé.
- Des notifications de connexion depuis un lieu ou un appareil que vous ne reconnaissez pas, si votre messagerie propose un historique de connexions.
- Des destinataires qui signalent avoir reçu des emails suspects (demande d'argent urgente, lien douteux) apparemment envoyés par vous.
Les cinq premières actions à mener sans attendre
Une fois un piratage suspecté ou confirmé, l'ordre des actions compte autant que leur réalisation :
- Changer immédiatement le mot de passe de la boîte mail concernée, depuis un appareil sain.
- Vérifier et supprimer toute règle de transfert automatique ajoutée sans votre consentement, souvent cachée dans les paramètres avancés de la messagerie.
- Activer l'authentification à deux facteurs si elle n'était pas déjà en place, pour empêcher une nouvelle connexion même avec l'ancien mot de passe compromis.
- Consulter l'historique des connexions récentes pour identifier l'étendue réelle de l'accès obtenu par l'attaquant.
- Prévenir les contacts professionnels proches si des emails suspects ont déjà été envoyés en votre nom, pour limiter les dégâts auprès de vos clients ou partenaires.
Comprendre comment l'accès a probablement été obtenu
La majorité des compromissions de messagerie proviennent de méthodes connues et évitables : un mot de passe réutilisé sur plusieurs services, déjà exposé lors d'une fuite de données ailleurs sur Internet ; un email de phishing qui a récupéré les identifiants directement ; ou une absence totale d'authentification à deux facteurs, qui transforme un simple mot de passe volé en accès complet immédiat. Identifier la cause probable aide à éviter une répétition du même incident.
Ce qu'il faut vérifier après avoir repris le contrôle
Reprendre l'accès à la boîte ne clôt pas nécessairement l'incident. Il reste utile de vérifier si des informations sensibles (factures, contrats, informations clients) ont pu être consultées ou téléchargées pendant la période de compromission, et d'évaluer si cette exposition nécessite d'en informer les personnes concernées, selon la nature des données présentes dans la boîte piratée.
Le rôle souvent oublié des appareils mobiles connectés
Une boîte mail professionnelle reste généralement connectée sur plusieurs appareils à la fois : ordinateur de bureau, téléphone, parfois une tablette. Changer le mot de passe depuis un seul de ces appareils ne déconnecte pas automatiquement les autres sessions déjà ouvertes ailleurs, y compris sur un appareil qui aurait pu être compromis séparément. Vérifier et, au besoin, déconnecter manuellement chaque appareil connecté à la messagerie complète la procédure de sécurisation, au-delà du simple changement de mot de passe effectué sur un seul point d'accès.
Un examen rapide des dossiers « Brouillons » et « Corbeille » complète utilement cette vérification, certains attaquants y laissant des traces (messages préparés puis supprimés) qui révèlent l'ampleur réelle de l'activité malveillante pendant la période de compromission.
Faut-il supprimer la boîte mail compromise et en créer une nouvelle ?
Rarement nécessaire si l'accès a été correctement repris et sécurisé. Supprimer la boîte entraîne la perte de tout l'historique professionnel associé, alors qu'un changement de mot de passe combiné à l'authentification à deux facteurs suffit généralement à sécuriser durablement l'accès.
Combien de temps après la compromission les règles de transfert malveillantes restent-elles actives ?
Elles restent actives indéfiniment tant qu'elles ne sont pas détectées et supprimées manuellement, ce qui explique pourquoi une vérification des règles de filtrage doit être systématique après tout changement de mot de passe lié à un incident de sécurité.
Une réaction rapide limite fortement l'impact d'une boîte mail compromise. Le support de VSP TECH peut vous accompagner dans la sécurisation immédiate d'une boîte d'email professionnel ou d'email entreprise via un ticket urgent.
