Compromission de messagerie (BEC) : détecter une boîte piratée et bloquer la fraude au virement

La réponse courte : une compromission de messagerie, souvent appelée BEC (Business Email Compromise), n’est pas un simple mail piégé. C’est une vraie boîte, la vôtre ou celle d’un fournisseur, prise en main par un fraudeur qui lit les échanges pendant des jours, attend une facture ou un paiement, puis glisse au bon moment un nouveau RIB ou une demande urgente. Le message part d’une adresse légitime, dans un fil de discussion réel : aucun filtre anti-spam ne le bloquera. Trois choses protègent vraiment : détecter tôt les signes d’une boîte compromise, savoir la remettre en sécurité complètement, et appliquer une procédure de paiement qui ne repose jamais sur un e-mail.

Cet article complète notre panorama des arnaques par mail qui visent les PME au Maroc. Là où ce dernier décrit les scénarios, nous détaillons ici ce qui se passe dans la boîte compromise et les gestes techniques pour reprendre la main. Les étapes citées proviennent de la documentation officielle de Microsoft et des recommandations publiées par le FBI sur ce type de fraude.

Comment se déroule une compromission de messagerie

Le scénario suit presque toujours les mêmes étapes :

1. Le vol d’identifiants. Une fausse page de connexion Microsoft 365 ou Google, reçue par mail, récupère le mot de passe. Les kits les plus récents capturent aussi la session ouverte, ce qui contourne une MFA par SMS ou par notification.
2. L’installation discrète. Le fraudeur se connecte, puis crée une règle de boîte de réception : les messages contenant « facture », « virement » ou « RIB » sont déplacés vers un dossier peu consulté, ou transférés vers une adresse externe. Il peut aussi ajouter sa propre méthode MFA ou autoriser une application pour garder l’accès.
3. L’observation. Pendant des jours, il lit les échanges avec les clients et fournisseurs, repère les montants attendus, les échéances, le ton des messages et les signatures.
4. La frappe. Au moment où un paiement est attendu, il répond dans le fil existant : « Suite à un changement de banque, merci d’utiliser désormais ce RIB. » Les réponses de la vraie personne sont masquées par la règle créée à l’étape 2.
5. La propagation. La boîte compromise sert ensuite à envoyer des liens piégés aux contacts, ce qui fait de nouvelles victimes chez vos clients et partenaires.

Il existe deux variantes à distinguer. Soit c’est votre boîte qui est compromise : vos clients reçoivent un faux RIB en votre nom. Soit c’est la boîte de votre fournisseur : vous recevez un faux RIB de sa part, depuis sa vraie adresse. Dans les deux cas, la protection technique de votre propre messagerie ne suffit pas : la procédure de paiement est la dernière barrière.

Les signes d’une boîte mail compromise

Microsoft liste dans sa documentation les symptômes typiques d’un compte Microsoft 365 compromis. Les voici, avec ce qu’ils signifient concrètement :

Signe observé	Ce que cela peut cacher
Règles de boîte inconnues qui transfèrent vers une adresse externe	Le fraudeur reçoit une copie de tous les échanges
Règles qui déplacent des messages vers « Notes », « Courrier indésirable » ou « Flux RSS »	Les réponses de clients ou fournisseurs sont cachées à l’utilisateur
Messages inconnus dans « Éléments envoyés » ou « Éléments supprimés »	Le fraudeur a écrit en votre nom, puis effacé les traces
Transfert externe ajouté récemment sur la boîte	Persistance mise en place par l’attaquant
Signature modifiée, coordonnées changées dans l’annuaire	Préparation d’une usurpation crédible
Changements de mot de passe ou verrouillages inexpliqués	Tentatives d’accès répétées
Boîte bloquée en envoi	La boîte a servi à envoyer du spam ou du phishing en masse

D’autres signaux viennent de l’extérieur : un client qui demande « avez-vous bien changé de banque ? », un fournisseur qui relance une facture déjà payée, ou des contacts qui signalent un mail étrange envoyé depuis votre adresse. Ces appels doivent déclencher une vérification immédiate, pas une simple réponse rassurante.

Les premiers gestes : remettre la boîte en sécurité

Microsoft insiste sur un point : le fraudeur cherche à garder l’accès par plusieurs moyens, et chaque étape doit être traitée. Changer le mot de passe seul laisse souvent la porte ouverte. Voici l’ordre que nous appliquons, conforme à la procédure publiée par Microsoft pour Microsoft 365.

1. Bloquer le compte pendant l’enquête

La recommandation de Microsoft est de désactiver le compte le temps de l’analyse. À défaut, réinitialiser le mot de passe avec un mot de passe robuste et unique, sans jamais l’envoyer par mail à l’utilisateur, puisque l’attaquant lit peut-être encore la boîte. Si le compte est synchronisé depuis un Active Directory local, le mot de passe se change dans l’annuaire local, et Microsoft conseille de le réinitialiser deux fois. Les mots de passe d’application ne sont pas révoqués automatiquement : il faut les supprimer.

2. Révoquer toutes les sessions ouvertes

Un mot de passe changé n’invalide pas forcément une session déjà ouverte par le fraudeur. La révocation des sessions (commande Revoke-MgUserSignInSession dans Microsoft Graph PowerShell, ou l’action équivalente dans le centre d’administration Entra) invalide les jetons existants et force une nouvelle authentification partout.

3. Contrôler les méthodes MFA, les applications et les rôles

• Méthodes MFA enregistrées : supprimer tout téléphone ou application d’authentification que l’utilisateur ne reconnaît pas.
• Applications autorisées par l’utilisateur : révoquer celles qui n’ont rien à faire là, une application malveillante peut lire les mails sans mot de passe.
• Rôles d’administration : vérifier qu’aucun rôle n’a été ajouté au compte.

4. Supprimer les règles et transferts cachés

Dans Exchange Online PowerShell, deux commandes donnent l’état réel de la boîte :

• Get-Mailbox -Identity <boîte> | Format-List Forwarding*Address,DeliverTo* affiche un éventuel transfert configuré directement sur la boîte.
• Get-InboxRule -Mailbox <boîte> -IncludeHidden liste toutes les règles de boîte de réception, y compris celles qui ne s’affichent pas dans Outlook.

Toute règle qui transfère, redirige ou déplace des messages sans raison connue est supprimée, après avoir été notée dans le journal d’incident.

5. Enquêter sur ce qui s’est passé

Les journaux de connexion d’Entra ID (adresse IP, pays, heure, succès ou échec) indiquent depuis quand l’attaquant était présent. Le journal d’audit du portail Microsoft Defender et le suivi des messages montrent ce qui a été lu, envoyé ou supprimé pendant cette période. Cette étape est indispensable pour savoir quels clients ou fournisseurs prévenir : si des faux RIB sont partis en votre nom, chaque destinataire doit être averti par téléphone.

Sur Google Workspace, la logique est la même : déconnecter l’utilisateur de toutes ses sessions, changer le mot de passe, vérifier les adresses de transfert, les filtres Gmail, les délégations et les applications tierces autorisées, puis consulter les journaux d’audit de la console d’administration.

Ces gestes s’inscrivent dans un cadre plus large, décrit dans notre article sur le plan de réponse à incident et la première heure d’une cyberattaque.

Si un virement est déjà parti

Le FBI, qui suit ce type de fraude depuis des années, recommande de contacter immédiatement sa banque et de lui demander de joindre la banque qui a reçu les fonds. Chaque heure compte. En parallèle :

• Ne rien supprimer : conserver les messages frauduleux avec leurs en-têtes complets, les relevés et les échanges avec la banque.
• Déposer plainte auprès des autorités, avec les éléments conservés.
• Prévenir le partenaire concerné par téléphone, à un numéro connu : sa propre boîte est peut-être compromise.
• Traiter la boîte comme un incident selon les étapes ci-dessus, même si le problème semble venir de l’extérieur.

Les réglages techniques qui réduisent le risque

Aucun réglage n’empêche totalement une compromission, mais plusieurs rendent le vol d’identifiants plus difficile et la fraude plus visible :

Réglage	Effet	Où le configurer
MFA pour tous, résistante au phishing pour les comptes sensibles	Un mot de passe volé ne suffit plus	Entra ID, console Google
Blocage du transfert automatique vers l’extérieur	Les règles de transfert créées par un fraudeur échouent	Stratégie anti-spam sortante (Microsoft 365), paramètres Gmail
SPF, DKIM et DMARC en mode strict	Votre domaine ne peut plus être usurpé par un tiers	Zone DNS du domaine
Alertes sur création de règle de transfert et connexions inhabituelles	Détection en quelques minutes plutôt qu’en semaines	Microsoft Defender, Google Alert Center, supervision
Bandeau « expéditeur externe » sur les messages entrants	Un faux dirigeant écrivant de l’extérieur devient visible	Règles de flux de messagerie
Accès conditionnel (pays, appareils gérés)	Une connexion depuis un appareil inconnu est bloquée	Entra ID

Sur le blocage du transfert, Microsoft recommande de ne pas laisser le réglage par défaut « Automatique – contrôlé par le système », dont le comportement varie selon l’ancienneté du tenant, et de choisir explicitement « Désactivé », avec des exceptions ciblées si un transfert est réellement nécessaire. Le rapport des messages transférés automatiquement permet de repérer les boîtes qui transfèrent déjà vers l’extérieur.

Ces réglages sont détaillés dans nos guides sur les 10 réglages pour sécuriser Microsoft 365, le déploiement de la MFA en entreprise et SPF, DKIM et DMARC.

La procédure de paiement : la barrière que le fraudeur ne franchit pas

Le fraudeur contrôle une boîte mail ; il ne contrôle ni votre téléphone fixe, ni la deuxième personne qui valide un paiement. Les recommandations du FBI tiennent en peu de règles, que nous conseillons d’écrire sur une page et de faire signer par la direction :

1. Tout changement de coordonnées bancaires d’un fournisseur se confirme par téléphone, au numéro déjà enregistré dans vos fichiers, jamais à celui indiqué dans le message.
2. Tout virement au-delà du seuil que vous fixez passe par une double validation par deux personnes différentes.
3. Aucun virement ne part sur la seule base d’un e-mail, quelle que soit l’urgence et quel que soit l’expéditeur, dirigeant compris.
4. L’urgence et la confidentialité demandées dans un message sont traitées comme des signaux d’alerte, pas comme des raisons d’accélérer.
5. Les domaines ressemblants (une lettre changée, un tiret ajouté) sont vérifiés : le FBI conseille même d’enregistrer les variantes proches de son propre nom de domaine.
6. Vos clients sont informés que vous ne changerez jamais de RIB par simple e-mail, par exemple par une mention sur vos factures.

Cette procédure protège dans les deux variantes : que la boîte compromise soit la vôtre ou celle du fournisseur. Elle doit être connue des équipes comptables, et entraînée : nos programmes de sensibilisation au phishing incluent des scénarios de faux changement de RIB.

Les erreurs que nous voyons le plus souvent

• Changer le mot de passe sans révoquer les sessions ni vérifier les règles de boîte : le fraudeur garde l’accès.
• Supprimer les messages frauduleux « pour faire propre » avant d’avoir enquêté : les preuves disparaissent.
• Confirmer un nouveau RIB en répondant au mail reçu : c’est le fraudeur qui répond.
• Considérer que la MFA par SMS suffit : les kits de phishing récents capturent aussi la session.
• Ne pas prévenir les clients et fournisseurs après une compromission : ils deviennent les victimes suivantes.

Comment nous accompagnons les entreprises

Nous commençons par l’audit initial offert : configuration de la messagerie Microsoft 365 ou Google Workspace, MFA, transfert externe, enregistrements SPF, DKIM et DMARC, droits des comptes et procédures de paiement. Nous corrigeons ensuite les réglages, en tant que partenaire Microsoft et partenaire Google Workspace, et rédigeons avec vous la procédure de validation des virements.

Dans le cadre de notre offre de cybersécurité des entreprises au Maroc, la supervision 24/7 surveille les connexions inhabituelles et la création de règles de transfert, et un incident critique, comme une boîte compromise, est pris en charge en moins de 15 minutes. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.