Compte email professionnel piraté : pourquoi les premières heures décident de tout
Une messagerie professionnelle compromise ouvre l'accès à vos clients, vos factures et vos autres services en ligne. Ce que l'on fait dans les premières heures change l'ampleur des dégâts.
Le scénario commence presque toujours de la même façon. Un matin, un client vous appelle : il a reçu de votre adresse un email étrange, avec une pièce jointe ou un RIB "mis à jour". Vous ouvrez votre messagerie : rien d'anormal en apparence. Pourtant, quelqu'un d'autre y est déjà installé, parfois depuis des jours ou des semaines. Après plus de dix ans à intervenir dans des TPE et chez des indépendants, je peux l'affirmer : ce n'est pas la sophistication de l'attaque qui fait la différence sur la facture finale, c'est la vitesse et l'ordre des réactions.
La messagerie n'est pas un compte comme les autres
On protège volontiers son logiciel de facturation ou son accès bancaire, et on oublie que la messagerie est la clé de voûte de tout le reste. C'est vers elle que partent les liens "mot de passe oublié" de vos autres services : stockage en ligne, réseaux sociaux, outils métiers, parfois même la banque. Un attaquant qui contrôle votre boîte mail peut donc, méthodiquement, prendre le contrôle du reste.
C'est aussi un outil d'usurpation redoutable. L'attaquant écrit à vos clients avec votre vraie adresse, votre vraie signature, dans le fil d'une vraie conversation. La fraude au RIB - un faux IBAN glissé dans un échange authentique - fonctionne précisément parce que tout semble légitime. Pour une petite structure, le préjudice n'est pas seulement financier : c'est la confiance de vos clients qui est engagée.
La première heure : couper l'accès, dans le bon ordre
La toute première action n'est pas d'envoyer un mail d'excuse à vos contacts. C'est de reprendre le contrôle exclusif du compte, et cela suppose trois gestes précis.
D'abord, changer le mot de passe depuis un appareil sain - pas depuis le poste potentiellement infecté qui a peut-être livré le mot de passe initial. Un téléphone en 4G/5G, hors du wifi du bureau, est souvent le choix le plus sûr dans l'urgence.
Ensuite, forcer la déconnexion de toutes les sessions ouvertes. Changer le mot de passe ne suffit pas toujours : selon les services, une session déjà ouverte peut rester active. Les grandes messageries proposent toutes une option "se déconnecter de tous les appareils" ou un tableau des sessions actives ; c'est le moment de s'en servir.
Enfin - et c'est l'étape que presque tout le monde oublie - inspecter les règles de transfert et de filtrage. C'est le grand classique des piratages de boîtes professionnelles : l'attaquant crée une règle discrète qui transfère une copie de vos messages vers une adresse extérieure, ou qui supprime automatiquement certaines réponses pour rester invisible. Tant que cette règle existe, changer le mot de passe ne sert à rien : la fuite continue. Il faut vérifier aussi les adresses de récupération et les numéros de téléphone associés au compte, que l'attaquant a pu remplacer par les siens pour garder une porte dérobée.
Les vingt-quatre heures suivantes : évaluer, prévenir, verrouiller
Une fois l'accès repris, la tentation est de tourner la page. C'est prématuré. Il reste à mesurer ce que l'attaquant a pu voir et faire : messages envoyés en votre nom (dossier "envoyés", mais aussi corbeille, car les traces sont souvent effacées), documents accessibles depuis la boîte, services tiers dont le mot de passe a pu être réinitialisé pendant l'intrusion.
Si le même mot de passe était utilisé ailleurs - c'est encore très fréquent - il faut le considérer comme public et le changer partout, en commençant par les services les plus sensibles. C'est aussi le bon moment pour activer la validation en deux étapes sur la messagerie et les comptes critiques : c'est la mesure qui, à elle seule, aurait bloqué la grande majorité des piratages de comptes que j'ai eu à traiter.
Vient enfin la partie la moins agréable : prévenir. Vos contacts, si des messages frauduleux sont partis, avec une consigne simple (ne pas ouvrir, ne pas payer, vérifier tout changement de RIB par téléphone). Votre banque, si des informations de paiement ont transité par la boîte. Et un dépôt de plainte si un préjudice existe : outre son utilité juridique, il est souvent exigé par les assurances. En France, la plateforme publique Cybermalveillance.gouv.fr aide à qualifier l'incident et oriente vers les bons interlocuteurs.
Ce qui aggrave presque toujours la situation
Trois comportements reviennent régulièrement et coûtent cher. Le premier : attendre, en espérant que "ça se calme". Chaque heure laissée à l'attaquant est une heure de collecte et d'usurpation supplémentaire. Le deuxième : réinstaller ou nettoyer le poste avant d'avoir compris comment l'accès a été obtenu - on détruit les indices sans fermer la porte, et l'histoire se répète quelques semaines plus tard. Le troisième : cacher l'incident à ses clients par crainte pour son image. Un client prévenu à temps est un client protégé ; un client qui découvre seul la fraude est un client perdu.
Le vrai sujet : ce qui se passe avant
Une intrusion de messagerie se joue en réalité en amont. Un mot de passe long et unique pour la boîte mail, la validation en deux étapes activée, des accès distincts pour chaque collaborateur plutôt qu'un compte partagé, et une procédure écrite de deux pages - qui appeler, quoi couper, dans quel ordre - rangée ailleurs que dans la boîte mail elle-même : ce socle se met en place en une demi-journée, coûte peu, et transforme un sinistre potentiel en incident maîtrisé.
Les petites structures pensent souvent qu'elles ne sont pas des cibles. C'est l'inverse : elles le sont précisément parce qu'elles se croient trop petites pour l'être, et donc trop petites pour se préparer. La bonne nouvelle, c'est que la préparation, elle, est à leur portée.