Compte Microsoft 365 piraté malgré la double authentification : comprendre et réagir

Oui, un compte Microsoft 365 protégé par la double authentification peut être piraté. Le pirate ne devine pas le second facteur : il vole la session ouverte juste après sa validation, ou obtient une autorisation qui ne la demande plus. Il lit alors les e-mails sans bruit et prépare le plus souvent une fraude au virement. La double authentification reste indispensable ; il faut y ajouter une surveillance des comptes et des réflexes de réaction rapides.

Comment un pirate contourne la double authentification

La double authentification (MFA) protège la connexion : sans le téléphone de l’utilisateur, un mot de passe volé ne suffit pas. Nous la détaillons dans notre article sur la double authentification en PME. Mais une fois la connexion validée, Microsoft 365 remet au navigateur un jeton de session (un cookie) qui évite de se réauthentifier pendant des heures, voire des jours. C’est ce jeton que visent les pirates.

• Le faux portail de connexion relais : un e-mail renvoie vers une page identique à celle de Microsoft, qui transmet en direct chaque saisie au vrai site. L’utilisateur tape son mot de passe, valide la notification sur son téléphone… et le pirate récupère le jeton de session au passage. Microsoft a décrit dès 2022 une campagne de ce type, dite AiTM (adversary-in-the-middle), qui avait visé plus de 10 000 organisations depuis septembre 2021 avant de servir à des fraudes au virement (Microsoft Security Blog). Des kits prêts à l’emploi vendus aux escrocs automatisent aujourd’hui cette technique.
• Le vol du jeton sur le poste : un logiciel espion installé sur l’ordinateur copie les cookies du navigateur. D’où l’importance d’une protection des postes capable de repérer ce comportement.
• La validation par lassitude : le pirate qui a le mot de passe envoie des dizaines de notifications jusqu’à ce que l’utilisateur en accepte une par erreur.
• L’application malveillante : un message invite à « autoriser » une application à lire la messagerie. Une fois acceptée, elle garde l’accès même après un changement de mot de passe.

Ce que fait le pirate une fois dans la boîte

L’objectif est rarement de casser quelque chose : c’est de rester invisible le plus longtemps possible pour détourner de l’argent. Le scénario courant :

1. Il observe : factures en cours, fournisseurs, habitudes de paiement, signature du dirigeant.
2. Il se cache : il crée une règle de boîte de réception qui déplace les réponses gênantes vers un dossier peu consulté (Flux RSS, Notes, Courrier indésirable) ou les transfère vers une adresse externe.
3. Il s’installe : il ajoute sa propre méthode de double authentification ou un appareil, pour revenir même après un changement de mot de passe.
4. Il frappe : depuis la vraie adresse, il annonce à un client un « changement de RIB », ou demande au service comptable un virement urgent. Le message est authentique, la signature aussi : rien ne paraît suspect.
5. Il rebondit : il envoie un nouvel hameçonnage aux contacts de la victime, qui font confiance à l’expéditeur.

Cybermalveillance.gouv.fr rappelle que la fraude au faux ordre de virement (FOVI) s’appuie souvent sur le piratage de la messagerie de la personne usurpée, et détaille les réflexes à adopter dans sa fiche dédiée.

Les signes qui doivent alerter

Selon Microsoft Learn, plusieurs symptômes trahissent un compte compromis :

Signe	Où le voir
Règle de boîte inconnue qui transfère ou déplace des messages	Outlook, paramètres des règles
Transfert automatique vers une adresse extérieure	Paramètres de la boîte, centre d’administration Exchange
Messages envoyés que l’utilisateur n’a pas écrits	Dossier Éléments envoyés ou Éléments supprimés
E-mails manquants ou supprimés	Boîte de réception
Verrouillages de compte ou changements de mot de passe inexpliqués	Centre d’administration Microsoft 365
Nouvelle méthode de double authentification ou nouvel appareil	Informations de sécurité du compte
Client ou fournisseur qui reçoit un message étrange « de votre part »	Signalement extérieur

Le dernier signe est souvent le premier connu : c’est un client qui appelle pour vérifier un RIB. Mieux vaut le savoir avant lui.

Que faire tout de suite si un compte est piraté ?

Chaque minute compte : tant que la session du pirate est ouverte, il peut envoyer des e-mails. L’ordre recommandé par Microsoft :

1. Bloquer le compte le temps de l’enquête, ou au minimum réinitialiser le mot de passe. Ne communiquez pas le nouveau mot de passe par e-mail : le pirate peut encore lire la boîte.
2. Révoquer toutes les sessions de l’utilisateur dans le centre d’administration Microsoft Entra : c’est ce qui coupe un jeton volé.
3. Supprimer les méthodes de double authentification et les appareils que l’utilisateur ne reconnaît pas.
4. Retirer les applications autorisées suspectes.
5. Supprimer les règles de boîte et les transferts créés par le pirate.
6. Vérifier les rôles d’administrateur attribués au compte.
7. Retracer l’attaque dans les journaux de connexion et le journal d’audit, à condition qu’il ait été activé (c’est l’un des réglages de notre article Sécuriser Microsoft 365).

Prévenez ensuite votre banque si un virement est parti (un rappel de fonds rapide augmente les chances de récupérer l’argent), vos clients et fournisseurs, et déposez plainte. Si des données personnelles ont été exposées, le RGPD impose de notifier la CNIL dans les 72 heures lorsque la violation présente un risque pour les personnes.

Pourquoi la détection doit être rapide et automatique

Microsoft 365 enregistre tout : connexions, règles créées, fichiers ouverts. Le problème, c’est que personne ne lit ces journaux à 22 heures un vendredi. Les fonctions avancées de Microsoft qui évaluent le risque de chaque connexion (Microsoft Entra ID Protection) demandent en outre une licence Entra ID P2, absente des offres Business.

C’est pour cela qu’est apparue une famille d’outils dédiés, dite ITDR (Identity Threat Detection and Response, détection et réponse aux attaques sur les identités). Ils analysent en continu l’activité des comptes Microsoft 365 et repèrent un comportement de pirate (connexion par un relais anonyme, règle de boîte cachée, nouvelle méthode d’authentification) même quand la double authentification a été validée. Ils coupent alors les sessions automatiquement et défont les modifications du pirate.

Cette surveillance complète l’EDR, qui protège les ordinateurs : l’un défend le poste, l’autre le compte dans le cloud.

Réduire le risque en amont

• Une double authentification résistante à l’hameçonnage : les clés de sécurité FIDO2, les clés d’accès (passkeys) et Windows Hello Entreprise ne fonctionnent pas sur un faux site. Microsoft recommande de les exiger au moins pour les administrateurs.
• L’accès conditionnel, inclus dans Business Premium : n’autoriser la connexion que depuis des appareils de l’entreprise rend un jeton volé beaucoup moins utile.
• Une règle simple pour les paiements : tout changement de RIB se confirme par téléphone, au numéro déjà connu, jamais à celui indiqué dans l’e-mail.
• La sensibilisation : apprendre à vérifier l’adresse d’une page de connexion et à refuser une notification qu’on n’a pas demandée.

Questions fréquentes

La double authentification est-elle devenue inutile ?

Non. Elle bloque la très grande majorité des attaques par mot de passe volé et reste la première mesure à prendre. Les techniques qui la contournent sont plus coûteuses pour les pirates ; elles visent surtout les entreprises où un virement peut être détourné. Il faut donc la compléter, pas l’abandonner.

Changer le mot de passe suffit-il à chasser le pirate ?

Pas toujours. Le pirate peut avoir ajouté sa propre méthode d’authentification, une application autorisée ou une règle de transfert, qui survivent au changement de mot de passe. Il faut aussi révoquer les sessions et supprimer tout ce qu’il a créé.

Comment savoir si un de nos comptes a déjà été piraté ?

Vérifiez les règles de boîte et les transferts de chaque utilisateur, les méthodes d’authentification enregistrées et les connexions récentes dans le centre d’administration Microsoft Entra. Un outil de surveillance des identités peut aussi analyser l’historique de votre espace Microsoft 365 et signaler les intrusions passées.

Quelle différence entre un EDR et la surveillance des comptes Microsoft 365 ?

L’EDR surveille ce qui se passe sur les ordinateurs et les serveurs : programmes malveillants, rançongiciels. La surveillance des comptes Microsoft 365 analyse l’activité dans le cloud : connexions, messagerie, SharePoint. Un pirate qui a volé une session n’installe rien sur vos postes : seul le second outil le voit.

Protégez vos postes et vos comptes Microsoft 365

Chez ITAK IT, nous accompagnons nos clients sur l’ensemble de leurs projets de cybersécurité : audit, réglages de Microsoft 365 qui font progresser votre Secure Score, EDR managé sur les postes et serveurs, et surveillance des comptes Microsoft 365 qui bloque une prise de contrôle en moins de 5 minutes, 24h/24 et 7j/7. Découvrez notre offre de cybersécurité managée, ou contactez notre équipe pour faire le point sur votre espace Microsoft 365.