Dans cet article
Les filtres activés par défaut dans Microsoft 365 bloquent le spam, les logiciels malveillants connus et les liens déjà répertoriés comme dangereux. Ils ne bloquent pas un message légitime, envoyé depuis un vrai compte, demandant de régler une facture sur un nouvel IBAN. Fermer cette porte relève de la configuration et des règles internes — le cœur de la cybersécurité gérée que DataRoad applique aux locataires Microsoft 365 de ses clients.
Le problème en chiffres
- 3 864 incidents Enregistrés par le CERT.PT en 2025, soit 40 % de plus que l'année précédente, selon les données du Centre national de cybersécurité portugais (CNCS) publiées en 2026.
- 18 % La part des incidents d'ingénierie sociale notifiés correspondant à la fraude au « faux CEO » et à la facture modifiée.
- Trois schémas Facture avec IBAN modifié, fausse page de connexion Microsoft 365 et pièce jointe ou QR code malveillant.
- Quatre mesures Authentification multifacteur, blocage des transferts externes, SPF/DKIM/DMARC et confirmation téléphonique des coordonnées bancaires couvrent l'essentiel du risque.
Pourquoi la protection d'origine ne suffit pas
Le filtre de Microsoft 365 compare chaque message à ce que l'on sait déjà être malveillant. Un virus répertorié est bloqué ; un serveur de spam connu ne délivre même pas le message.
Ce qu'aucun filtre n'évalue, c'est l'intention. Un message provenant du vrai compte d'un fournisseur annonçant « nous avons changé de banque » ne contient ni pièce jointe infectée ni lien suspect, et vient bien de qui il prétend venir. Il passe tous les contrôles techniques.
Fraude 1 — l'IBAN qui change en cours de conversation
L'attaquant compromet la boîte d'un fournisseur (ou celle de l'entreprise elle-même), lit les échanges pendant des semaines et attend une facture importante. Puis il répond dans le même fil : « à compter de ce mois-ci, merci de payer sur le nouvel IBAN ci-joint ». Une variante courante utilise un domaine avec une lettre modifiée, que personne ne remarque dans la précipitation.
La défense est une règle écrite, pas un produit : les coordonnées bancaires ne se modifient jamais par e-mail. La confirmation se fait par téléphone, au numéro qui figurait déjà dans la fiche du fournisseur. La procédure complète est détaillée dans le guide sur les factures modifiées et la fraude par e-mail.
Fraude 2 — l'écran de connexion qui n'est pas celui de Microsoft
Le message annonce « un document partagé avec vous » ou « boîte aux lettres pleine ». Le lien ouvre une copie parfaite de l'écran de connexion Microsoft 365. Le collaborateur saisit son e-mail et son mot de passe, et l'attaquant s'empare du compte.
Suit une règle discrète dans la boîte : les messages contenant « facture » ou « paiement » sont transférés vers l'extérieur ou cachés dans un dossier oublié. C'est ainsi que naît la fraude 1, cette fois à partir de votre propre entreprise.
Pour le dire simplement : l'authentification multifacteur est un second cadenas. Avec le mot de passe volé, l'attaquant a toujours besoin du téléphone du collaborateur. C'est la mesure qui, à elle seule, réduit le plus le vol de comptes.
Fraude 3 — le QR code dans le PDF
Comme les filtres analysent de mieux en mieux les liens, les attaquants ont changé de format : un PDF avec un QR code « pour signer », une image au lieu de texte, une pièce jointe protégée par mot de passe que le filtre ne peut pas ouvrir.
Le QR code pousse l'utilisateur vers son téléphone personnel, hors des protections de l'entreprise. Ce qui s'ouvre est presque toujours une nouvelle version de la fraude 2.
DataRoad IT Unlimited
Parlez à DataRoad. Nous évaluons votre activité et proposons l’offre adaptée.
Les configurations qui bloquent les trois fraudes
Rien de tout cela n'exige d'acheter une marque particulière. Il s'agit de paramètres de Microsoft 365 et de règles internes.
| Mesure | Fraudes bloquées | Effet concret |
|---|---|---|
| MFA sur tous les comptes | 2 et 3 | Un mot de passe volé ne suffit plus pour entrer. |
| Transfert externe bloqué | 1 et 2 | Un compte compromis n'envoie pas, en silence, votre courrier vers l'extérieur. |
| SPF, DKIM et DMARC sur le domaine | 1 | Celui qui reçoit un faux e-mail « de votre entreprise » peut l'identifier et le rejeter. |
| Confirmation téléphonique des coordonnées bancaires | 1 | Aucun IBAN ne change par e-mail. |
| Formation courte et régulière | 1, 2 et 3 | L'équipe reconnaît le schéma : urgence, secret, lien « pour confirmer ». |
Transfert automatique : décider plutôt que laisser faire le système
La stratégie qui contrôle le transfert vers des adresses externes est, par défaut, en mode « automatique, contrôlé par le système ». Microsoft recommande de définir explicitement si elle est activée ou désactivée, car le comportement peut varier d'une organisation à l'autre. Pour la plupart des PME, la bonne réponse est « désactivé », avec des exceptions approuvées une à une.
SPF, DKIM et DMARC sans jargon
Ce sont trois enregistrements du domaine qui prouvent qu'un e-mail de l'entreprise vient bien de l'entreprise. Le SPF liste qui peut envoyer en votre nom. Le DKIM est un sceau qui montre que le message n'a pas été modifié en chemin. Le DMARC indique au destinataire quoi faire en cas d'échec — rejeter, mettre en quarantaine ou simplement signaler — et renvoie des rapports sur qui utilise votre nom.
Microsoft prévient qu'appliquer seulement une partie de ces méthodes laisse la protection incomplète. Le travail se fait par étapes : recenser tous les services qui envoient des e-mails pour l'entreprise (facturation, newsletter, CRM), puis seulement durcir la stratégie. Un DMARC fait à la hâte peut bloquer vos propres factures.
Tout repose sur l'authentification multifacteur sur tous les comptes. Avant d'acheter le moindre outil, vérifiez quelles fonctions de sécurité votre licence Microsoft 365 inclut déjà.
Leçon d'un projet : la sécurité définie dès la migration
La União das Freguesias de Massamá e Monte Abraão a choisi DataRoad, par marché public, pour migrer environ 50 boîtes aux lettres vers Exchange Online. Le projet comprenait le transfert intégral des e-mails, de l'arborescence et des données, la reconfiguration des postes de travail et des téléphones et la validation finale.
Une migration est le moment idéal pour poser les règles de sécurité dès le départ. Configurer 50 boîtes une fois, et bien, coûte beaucoup moins cher que de les corriger une à une après un incident.
Liste de vérification pour cette semaine
- MFA — vérifier qu'elle est active sur tous les comptes, y compris partagés et d'administration.
- Transferts — demander la liste des transferts actifs ; toute règle vers l'extérieur que personne ne sait expliquer est une alerte.
- DMARC — vérifier dans quel mode se trouve celui de votre domaine.
- Règle bancaire — rédiger et diffuser la confirmation par téléphone.
- Formation — planifier une session pour préparer les équipes au phishing et aux deepfakes.
Questions fréquentes
Microsoft 365 n'inclut-il pas déjà une protection de la messagerie ?
Si, et elle fonctionne bien contre le spam et les logiciels malveillants connus. Elle ne bloque pas les messages légitimes provenant de comptes compromis ni les demandes de paiement convaincantes. Ces lacunes se comblent par la configuration et des règles internes.
Faut-il acheter un autre outil de sécurité de la messagerie ?
Pas toujours. Pour de nombreuses PME, le plus grand gain consiste à bien configurer ce que la licence inclut déjà. Des outils supplémentaires ont du sens ensuite, selon le risque et le secteur.
Comment savoir si mon domaine dispose d'un DMARC ?
Demandez à votre partenaire IT de lire les enregistrements SPF, DKIM et DMARC. Si le DMARC n'existe pas ou n'est qu'en observation, n'importe qui peut plus facilement envoyer des e-mails qui semblent venir de votre entreprise.
Un collaborateur a saisi son mot de passe sur une fausse page. Que faire ?
Changez immédiatement le mot de passe, fermez toutes les sessions actives, vérifiez que la MFA est activée et passez en revue les règles et transferts créés ces derniers jours. Demandez à la comptabilité de suspendre les paiements comportant des changements récents d'IBAN.
Prochaine étape : diagnostic de la messagerie en 5 jours ouvrés
Nous analysons la MFA, les transferts, les règles de boîtes aux lettres et SPF, DKIM et DMARC, puis livrons les corrections classées par priorité, sans engagement. La gestion continue fait partie de la formule IT Unlimited Premium, du service Microsoft 365 géré et de notre cybersécurité gérée pour les entreprises.
Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone
Sources
- Renascença — CNCS : la fraude au « faux CEO » a représenté 18 % des incidents d'ingénierie sociale notifiés au CERT.PT en 2025
- Lusa / DNoticias — CNCS : 3 864 incidents enregistrés par le CERT.PT en 2025 (+40 %)
- Microsoft Learn — Email authentication in Microsoft 365 (SPF, DKIM et DMARC)
- Microsoft Learn — Transfert externe des e-mails dans Microsoft 365
