Compte email professionnel piraté : pourquoi les premières heures décident de tout
Une messagerie professionnelle compromise ouvre l’accès à vos clients, vos factures et vos autres services en ligne. Ce que l’on fait dans les premières heures change l’ampleur des dégâts.
Le scénario commence presque toujours de la même façon. Un matin, un client vous appelle : il a reçu de votre adresse un email étrange, avec une pièce jointe ou un RIB « mis à jour ». En ouvrant votre messagerie, rien d’anormal en apparence. Pourtant, quelqu’un d’autre y est déjà installé, parfois depuis des jours ou des semaines. Après plus de dix ans à intervenir dans des TPE et chez des indépendants, il est clair que la vitesse et l’ordre des réactions sont déterminants.
La messagerie n’est pas un compte comme les autres
On protège volontiers son logiciel de facturation ou son accès bancaire, mais on oublie que la messagerie est la clé de voûte de tout le reste. C’est vers elle que partent les liens « mot de passe oublié » de vos autres services : stockage en ligne, réseaux sociaux, outils métiers, parfois même la banque. Un attaquant qui contrôle votre boîte mail peut méthodiquement prendre le contrôle du reste.
C’est aussi un outil d’usurpation redoutable. L’attaquant écrit à vos clients avec votre vraie adresse, votre vraie signature, dans le fil d’une vraie conversation. La fraude au RIB, qui implique un faux IBAN glissé dans un échange authentique, fonctionne précisément parce que tout semble légitime. Pour une petite structure, le préjudice n’est pas seulement financier : c’est la confiance de vos clients qui est engagée.
La première heure : couper l’accès, dans le bon ordre
La première action n’est pas d’envoyer un mail d’excuse à vos contacts. C’est de reprendre le contrôle exclusif du compte, ce qui nécessite trois gestes précis. D’abord, changer le mot de passe depuis un appareil sain, idéalement un téléphone en 4G/5G, hors du réseau du bureau. Ensuite, forcer la déconnexion de toutes les sessions ouvertes. Enfin, inspecter les règles de transfert et de filtrage, car l’attaquant peut avoir mis en place des règles discrètes pour transférer vos messages vers une adresse extérieure.
Les vingt-quatre heures suivantes : évaluer, prévenir, verrouiller
Une fois l’accès repris, il est crucial de mer ce que l’attaquant a pu voir et faire. Il faut également changer les mots de passe dans d’autres services si le même mot de passe était utilisé ailleurs. C’est le bon moment pour activer la validation en deux étapes sur la messagerie et les comptes critiques.
Ensuite, il est nécessaire de prévenir vos contacts, en leur donnant des consignes simples, et de contacter votre banque si des informations de paiement ont transité par la boîte. Un dépôt de plainte peut être exigé par les assurances. En France, la plateforme publique Cybermalveillance.gouv.fr aide à qualifier l’incident et oriente vers les bons interlocuteurs.
Ce qui aggrave presque toujours la situation
Trois comportements reviennent régulièrement et coûtent cher : attendre en espérant que « ça se calme », réinstaller ou nettoyer le poste avant d’avoir compris comment l’accès a été obtenu, et cacher l’incident à ses clients par crainte pour son image.
Le vrai sujet : ce qui se passe avant
Une intrusion de messagerie se joue en amont. Un mot de passe long et unique pour la boîte mail, la validation en deux étapes activée, et des accès distincts pour chaque collaborateur sont essentiels. Les petites structures pensent souvent qu’elles ne sont pas des cibles, mais elles le sont précisément parce qu’elles se croient trop petites pour l’être.
Source : Journal du Net
