En résumé
- La protection de base de Microsoft 365 bloque les spams et les logiciels malveillants connus. Elle ne bloque pas un véritable courriel provenant d'un compte réel demandant un transfert.
- En 2025, la fraude du “ faux PDG ” et de la facture modifiée représentaient 18% des incidents d’ingénierie sociale signalés au CERT.PT (CNCS).
- Trois attaques se produisent fréquemment : la facture avec un IBAN modifié, la page d’authentification de Microsoft 365 fausse et l’attache ou le code QR malveillant.
- Quatre mesures ferment la plupart des portes : authentification multifactorielle, blocage des redirections, authentification du domaine (SPF, DKIM et DMARC) et une simple règle de confirmation par téléphone.
Dans cet article
- Qu'est-ce que la protection de base fait — et ce qu'elle ne peut pas faire
- Attaque 1 : la facture avec l'IBAN modifié
- Attaque 2 : la page fausse de Microsoft 365
- Attaque 3 : l'annexe ou le code QR
- Ce qui déclenche ces attaques
- Un cas réel : 50 boîtes aux lettres migrées vers Microsoft 365
- Comment commencer demain ?
- Foire aux questions
- Diagnostic par courriel pour Microsoft 365 en 5 jours ouvrables
La sécurité du courrier électronique dans Microsoft 365 Elle vient d’origine légitime, mais a été conçue pour capturer ce qui est clairement du spam : le spam, les virus connus, les liens déjà identifiés comme dangereux. Les attaques qui coûtent aujourd’hui de l’argent aux entreprises portugaises sont d’autres. Elles arrivent bien rédigées, souvent provenant d’un vrai courrier électronique, et demandent une chose banale — payer une facture ou “ confirmer sa mot de passe ”.
Selon des données du Centre national de cybersécurité (CNCS) publiées en 2026, le CERT.PT a enregistré 3 864 incidents en 2025, soit 40% de plus que l’année précédente. La fraude par courriel, qui se fait passer pour un administrateur ou un fournisseur, a été à elle seule à été à l’origine de 18% des incidents de cyberingénierie signalés.
Qu'est-ce que la protection de base fait — et ce qu'elle ne peut pas faire
Le filtre de Microsoft 365 est bon dans le but pour lequel il a été créé : il compare chaque message avec ce qui est déjà connu comme dangereux. Un virus connu est retenu ; un serveur de spam connu n’arrive même pas dans la boîte de réception.
Ce que vous ne pouvez pas mesurer, c’est l’intention. Un courriel envoyé depuis le compte réel d’un fournisseur indiquant “ nous avons changé de banque ” passe tous les tests techniques : il n’y a ni virus ni lien suspect, et il vient de l’endroit où il prétend être envoyé.
Attaque 1 : la facture avec l'IBAN modifié
C’est l’attaque la plus coûteuse et la plus simple : le criminel pénètre dans le boîtier de messagerie d’un fournisseur (ou de son propre entreprise), lit les conversations pendant des semaines et attend une facture importante. À ce moment-là, il répond dans le même fil de conversation : “ Attention, à partir de ce mois-ci, le paiement doit être effectué au nouveau IBAN joint en pièce jointe.”
Variante courante : un domaine avec une lettre changeante. En hâte, personne ne s'en aperçoit.
Ce qui déclenche cette attaque n'est pas une technologie sophistiquée. C'est une règle écrite : aucune modification des données bancaires n'est acceptée par courriel. Cela se confirme toujours par téléphone, pour un numéro qui était déjà dans la fiche du fournisseur — jamais pour ce qui apparaît dans le message. Nous avons expliqué le processus complet dans l’article consacré à Fraude par courriel et factures modifiées.
Attaque 2 : la page fausse de Microsoft 365
Un e-mail arrive indiquant qu’il y a “ un document partagé avec vous ” ou que “ votre boîte de réception est pleine ”. Le lien ouvre une page identique à l’écran d’accueil de Microsoft 365, avec le logo et les couleurs correctes. La personne écrit l’email et le mot de passe. C’est tout : le criminel a l’accès à l’adresse e-mail.
La prochaine étape est discrète : une règle dans le boite mail qui redirige les messages avec “ facture ” ou “ paiement ”, ou les cache dans un dossier que personne ne découvre. C’est ainsi que naît l’attaque 1, issue de leur propre entreprise.
Attaque 3 : l'annexe ou le code QR
Alors que les filtres analysent de mieux en mieux les liens, les attaquants ont changé de format : un PDF avec un code QR “ pour signer le document ”, une image au lieu de texte, un fichier annexé protégé par mot de passe que le filtre ne peut pas ouvrir.
Le code QR conduit la personne à ouvrir le lien sur son téléphone personnel, en dehors des protections de l'entreprise. La page qui s'ouvre est presque toujours une autre version de l'attaque 2.
Ce qui déclenche ces attaques
Aucune de ces mesures ne nécessite l’achat d’une marque spécifique : ce sont des configurations de Microsoft 365 et des règles internes.
| Mesure | Que raidissement | En langage simple |
|---|---|---|
| Authentification multifacteur sur tous les comptes | 2 et 3 | La parole-passe volée cesse d’arriver pour entrer. |
| Bloquer le redirection automatique vers l’extérieur | 1 et 2 | Un compte compromis ne peut pas envoyer ses e-mails, en silence, à l'extérieur. |
| SPF, DKIM et DMARC sur votre domaine | 1 | Quiconque reçoit un e-mail faux “ de votre entreprise ” peut le détecter et le rejeter. |
| Confirmation par téléphone des données bancaires | 1 | Aucun IBAN ne change par courriel. Point final. |
| Formation courte et régulière | 1, 2 et 3 | Les gens reconnaissent le schéma : urgence, secret, lien pour “ confirmer ”. |
Redirection : ne laissez pas le système décider
Dans Microsoft 365, la politique qui contrôle le redirection automatique vers des adresses externes est par défaut en mode “ automatique, contrôlé par le système ”. Microsoft lui-même recommande de définir explicitement si cela est activé ou désactivé, car le comportement peut varier d’une organisation à l’autre. Pour la plupart des PME, la bonne réponse est désactivé, avec des exceptions approuvées au cas par cas.
SPF, DKIM et DMARC, expliqués sans jargon
Il s’agit de trois enregistrements techniques dans son domaine qui prouvent que le courriel “ de votre entreprise ” est bien de votre entreprise.
Microsoft est claire : utiliser qu’une partie de ces méthodes n’offre pas une protection suffisante. Cela se fait par étapes : d’abord dresser la liste de tous les services qui envoient du courrier électronique au nom de Microsoft (facturation, newsletter, CRM), puis renforcer la politique. En procédant de manière précipitée, DMARC peut bloquer ses propres factures.
Le fondement de tout est la authentification multifactor sur toutes les comptes. Et avant d’acheter quoi que ce soit, assurez-vous que Les fonctions de sécurité incluent déjà votre licence Microsoft 365.
Un cas réel : 50 boîtes aux lettres migrées vers Microsoft 365
L’Union des Freguesias de Massamá et Monte Abraão a a choisi DataRoad, par voie d’appel d’offres, pour Migrer environ 50 boîtes aux lettres vers Microsoft 365 (Exchange Online). Le projet a inclus le transfert intégral des courriels, de la structure et des données, ainsi que la reconfiguration des postes de travail et des téléphones, avec une validation finale.
L'enseignement : une migration est le bon moment pour abandonner la sécurité définie à fond. Configurer 50 boîtes aux lettres une fois, avec les règles correctes, coûte beaucoup moins que les corriger une à une après un incident.
Comment commencer demain ?
Confirmez que toutes les comptes — y compris les comptes partagés et les comptes d’administration — disposent d’une authentification multifactorielle. Demandez la liste des redirections actives : toute règle pour un adresse externe que personne ne peut expliquer est un signal d’alarme. Vérifiez dans quelle mesure votre DMARC est configuré, rédigez la règle de confirmation par téléphone et réservez une session pour entraîner les équipes contre le phishing.
Foire aux questions
Le Microsoft 365 ne comprend-il plus de protection contre les e-mails ?
Oui, et elle est efficace contre les spams et les logiciels malveillants connus. Elle ne bloque pas les e-mails légitimes envoyés depuis des comptes compromis ni les demandes de paiement bien rédigées. Ces problèmes sont gérés grâce à des configurations (authentification à deux facteurs, redirections, SPF, DKIM et DMARC) et à des règles internes.
Dois-je acheter une autre solution de sécurité e-mail ?
Pas toujours. Dans de nombreuses PME, le plus grand gain vient de bien définir ce que la licence comprend déjà. Des outils supplémentaires prennent sens après cette base, selon le risque et le secteur.
Comment puis-je savoir si mon domaine possède DMARC ?
Vous pouvez demander à votre fournisseur de services informatiques de lire les enregistrements SPF, DKIM et DMARC du domaine. Si le DMARC n’existe pas ou n’est en mode observation, toute personne peut envoyer des emails qui semblent provenir de votre entreprise avec moins d’obstacles.
Un collaborateur a introduit le mot de passe sur une page fausse. Que faire ?
Modifiez immédiatement votre mot de passe, fermez toutes les sessions actives, confirmez que l’authentification multifactor est activée et révisez les règles de la boîte aux lettres ainsi que les redirections créées ces derniers jours. Informez la comptabilité pour suspendre les paiements suite à des modifications récentes de l’IBAN.
Diagnostic par courriel pour Microsoft 365 en 5 jours ouvrables
Nous vérifions l’authentification multifactorielle, les redirections, les règles de boîte aux lettres et les SPF, DKIM et DMARC, et apportons les corrections dans l’ordre de priorité. Pour les entreprises avec plus de 10 postes · contrat d’assistance · support distant, local et téléphonique. La gestion continue est incluse dans les plans. IT Unlimited Premium et au service de Microsoft 365 pour les entreprises, Comme partie de notre cybersécurité gérée.
Diagnostic par courriel dans 5 jours ouvrés
Apprenez ce que la protection de base de votre Microsoft 365 ne couvre pas.
Sources
- Renaissance — Alerte du CNCS : la fraude du “ faux PDG ” a représenté 18% des incidents d’ingénierie sociale signalés au CERT.PT en 2025
- Lusa / DNoticias — Données du CNCS : 3 864 incidents signalés par le CERT.PT en 2025 (+40%)
- Microsoft Learn — Authentification par courriel dans Microsoft 365 (SPF, DKIM et DMARC)
- Microsoft Learn — Contrôle du redirection externe des e-mails dans Microsoft 365
![Logo de mun[it], agence de marketing numérique — client de DataRoad](https://www.dataroad.pt/wp-content/uploads/2026/09/logo-cliente-munit.png){kind=logo}
