Compte de messagerie piraté : que faire d'abord ?

La messagerie est le compte le plus convoité : elle reçoit les liens de réinitialisation de tous les autres mots de passe, elle contient les échanges avec vos clients et les factures en cours. Un piratage se remarque à une connexion inconnue, à des messages disparus ou à un correspondant qui signale une demande étrange. Voici l'ordre des gestes.

Reconnaître un compte compromis

• une alerte de connexion depuis un lieu ou un appareil inhabituel ;
• des messages envoyés que vous n'avez pas écrits, ou des réponses à des messages que vous n'avez jamais reçus ;
• des courriers qui disparaissent du dossier de réception sans avoir été lus ;
• un dossier « éléments envoyés » vidé ou incohérent ;
• des demandes de réinitialisation de mot de passe sur d'autres services ;
• un correspondant qui vous appelle pour confirmer un changement de coordonnées bancaires que vous n'avez pas demandé.

Les six premiers gestes

1. Changez le mot de passe depuis un appareil sain. Si un programme espion est installé sur votre poste, le nouveau mot de passe serait capté aussitôt. Utilisez un autre ordinateur ou un téléphone qui n'a pas servi à l'incident.
2. Fermez toutes les sessions ouvertes. Les services de messagerie proposent une option de déconnexion globale. Sans elle, l'attaquant reste connecté avec son ancienne session malgré le changement de mot de passe.
3. Activez la double authentification, qui ajoute une seconde preuve d'identité au mot de passe.
4. Supprimez les règles de transfert automatique que vous n'avez pas créées, ainsi que les redirections vers une adresse externe. C'est la porte dérobée la plus courante : elle permet de continuer à lire vos messages sans se reconnecter.
5. Vérifiez les paramètres de récupération : adresse de secours, numéro de téléphone, questions de sécurité. Un attaquant y place souvent ses propres coordonnées.
6. Révoquez les applications connectées et les mots de passe d'application, ces codes qui permettent à un logiciel tiers de relever le courrier sans passer par la double authentification.

Ensuite : mesurer et prévenir

Prévenez ensuite vos correspondants récents, en particulier ceux qui ont reçu un message suspect, et demandez-leur de vérifier par téléphone toute demande de paiement reçue pendant la période concernée. Prévenez votre support informatique : si le mot de passe était réutilisé ailleurs, d'autres comptes sont exposés.

Et si des données personnelles ont été exposées ?

Une boîte professionnelle contient presque toujours des données concernant des personnes : coordonnées de clients, candidatures, pièces jointes. Si ces données ont pu être consultées ou copiées, l'incident constitue une violation de données. Le RGPD impose de la notifier à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle n'engendre pas de risque pour les personnes concernées. Notre article sur la violation de données personnelles détaille la marche à suivre et le contenu du registre.

Éviter la prochaine fois

• un mot de passe unique pour la messagerie, différent de tous les autres ;
• la double authentification imposée à l'ensemble des comptes, comme expliqué dans notre article sur son activation ;
• la désactivation des anciens protocoles de relève du courrier, qui ignorent cette seconde vérification ;
• une alerte automatique lorsqu'une règle de transfert est créée ;
• le retrait des accès dès qu'une personne quitte l'organisation.

NexSecure configure ces protections et surveille les connexions anormales dans le cadre de la messagerie professionnelle.