Erreur 550 5.1.8 : votre boîte Microsoft 365 ne peut plus envoyer d’e-mails

Lundi matin, retour de vacances. Une utilisatrice ouvre Outlook, envoie ses premiers messages… et reçoit aussitôt un retour d’erreur : « vous n’avez pas été reconnu comme expéditeur valide ». Elle reçoit ses e-mails normalement, mais plus rien ne part. C’est un cas que nous traitons régulièrement, et le message d’erreur cache presque toujours quelque chose de plus sérieux qu’un simple bug.

Ce que dit exactement le message

Le retour d’erreur (ou NDR) ressemble à ceci, en anglais le plus souvent :

Your message couldn't be delivered because you weren't recognized as a valid sender. […] Remote Server returned '550 5.1.8 Access denied, bad outbound sender'

Traduit : Microsoft soupçonne votre adresse d’avoir envoyé du spam, et lui a retiré le droit d’envoyer des e-mails. La boîte continue de recevoir, mais elle est placée sur la liste des entités restreintes de Microsoft 365.

Pourquoi Microsoft bloque le compte

Le blocage se déclenche quand un compte dépasse les limites d’envoi du service, ou quand ses envois ressemblent à du spam : des centaines de messages en quelques minutes, vers des destinataires externes qu’il n’a jamais contactés. Microsoft l’indique lui-même : cela signale le plus souvent un compte compromis.

Dans le cas de notre utilisatrice, c’est exactement ce qui s’était passé. Son mot de passe avait été volé quelques jours plus tôt, et le compte n’avait pas d’authentification multifacteur. L’attaquant s’était installé tranquillement, puis avait envoyé en une demi-heure une campagne d’hameçonnage à plusieurs centaines de contacts. Microsoft a coupé l’envoi au milieu de la campagne. Le blocage, c’était la bonne nouvelle.

Les bonnes étapes, dans l’ordre

1. Reprendre la main sur le compte

Changer le mot de passe depuis un poste sain, puis fermer toutes les sessions ouvertes (dans le centre d’administration Microsoft 365, ou depuis Entra ID : « révoquer les sessions »). Un nouveau mot de passe seul ne suffit pas toujours : un attaquant qui a gardé une session active peut rester connecté.

2. Chercher ce que l’attaquant a laissé derrière lui

• Les journaux de connexion (Entra ID) : depuis quels pays, quelles adresses, depuis quand. C’est là qu’on découvre la date réelle de l’intrusion, souvent bien avant le blocage.
• Les appareils enregistrés sur le compte : un attaquant peut inscrire son propre « ordinateur » pour garder un accès durable. Tout appareil inconnu doit être supprimé.
• Les règles de la boîte : transferts automatiques, suppression des réponses, déplacement vers un dossier caché.
• Les applications autorisées sur le compte, et les éventuelles délégations.

3. Activer l’authentification multifacteur

C’est la mesure qui aurait évité l’incident. Avec une validation sur le téléphone, un mot de passe volé ne suffit plus pour entrer.

4. Débloquer l’envoi

Seulement maintenant. L’administrateur se rend dans le portail Microsoft Defender, rubrique Courrier et collaboration › Révision › Entités restreintes (adresse directe : security.microsoft.com/restrictedentities), sélectionne la boîte et choisit « Débloquer ». Microsoft indique un délai d’une heure en général, et au maximum 24 heures.

5. Prévenir les destinataires

Les contacts qui ont reçu le faux message doivent être avertis : un court e-mail suffit, pour qu’ils ne cliquent pas et qu’ils vérifient leurs propres comptes s’ils l’ont déjà fait.

Et pour la suite

Un blocage 5.1.8 est souvent le premier signe visible d’une compromission qui dure depuis plusieurs jours. Une fois le compte nettoyé, c’est le bon moment pour vérifier l’ensemble de l’entreprise : MFA sur tous les comptes, alertes de sécurité envoyées à quelqu’un qui les lit, et une courte sensibilisation de l’équipe à l’hameçonnage, appuyée sur le cas réel.

Source : Microsoft Learn, « Remove blocked users from the Restricted entities page » (documentation Microsoft Defender for Office 365).