Un compte Microsoft 365 compromis : contenir, comprendre, sécuriser
Une boîte aux lettres piratée pendant des congés, bloquée par Microsoft. Ce que nous avons fait pour contenir, comprendre et sécuriser.
Accueil > Études de cas > Compte Microsoft 365 compromis
Le contexte
Au retour de congés, une collaboratrice d’une PME ne peut plus envoyer d’e-mails. Microsoft a bloqué sa boîte : pendant son absence, elle a servi à envoyer plusieurs centaines de messages frauduleux.
Notre intervention
- Analyse des journaux de connexion Entra ID pour dater l’intrusion et repérer les adresses utilisées
- Mot de passe changé, sessions révoquées, appareils inconnus inscrits par l’attaquant supprimés
- Vérification qu’aucune application tierce n’avait été autorisée sur le compte
- Liste des destinataires touchés remise au client, pour qu’il puisse les prévenir
- Déblocage de l’envoi dans Microsoft Defender, alertes de sécurité mises en place
- Support de sensibilisation au hameçonnage remis aux équipes
Le résultat
Un compte assaini et de nouveau utilisable, un client informé de ses obligations de notification, et un plan de généralisation de la double authentification.
Microsoft 365Entra IDDefenderExchange Online
Ce qu’il faut en retenir
- La double authentification aurait très probablement bloqué l’intrusion : elle doit être activée sur tous les comptes, sans exception
- Changer le mot de passe ne suffit pas : il faut aussi fermer les sessions ouvertes et retirer les appareils ajoutés par l’attaquant
- Les applications autorisées et les règles de boîte de réception sont à vérifier : c’est par là qu’un attaquant garde un accès
- Un compte compromis peut être une violation de données : la notification à la CNIL se fait dans les 72 heures
Les services concernés
Microsoft 365Administration et sécurisation de votre environnement.Découvrir
CybersécuritéProtection des postes, des comptes et de la messagerie.Découvrir
Audit de sécuritéUn état des lieux gratuit de vos comptes et de vos accès.Découvrir
À voir aussiServeur HPE ProLiant remis en serviceAudit d’un réseau UniFi et d’un NASToutes les études de cas
Un cas proche du vôtre ?
Décrivez-nous votre situation : nous vous disons comment nous la traiterions.
