--- title: "Sécurité e-mail Microsoft 365 | DataRoad IT" description: "Faux président, faux login et QR codes passent le filtre de Microsoft 365. Quatre réglages de cybersécurité gérée ferment la porte. Sans engagement." language: fr url: https://www.dataroad-it.com/fr/microsoft-365-fraudes-email-filtres/ source: https://www.dataroad-it.com/fr/microsoft-365-fraudes-email-filtres/ publisher: DataRoad IT (DataRoad - IT Services and Consulting), Portugal --- > Faux président, faux login et QR codes passent le filtre de Microsoft 365. Quatre réglages de cybersécurité gérée ferment la porte. Sans engagement. # Sécurité e-mail Microsoft 365 : ce que le filtre laisse passer En bref Pour les décideurs pressés. - 01 Le filtre natif de Microsoft 365 bloque spam et virus connus, pas les demandes de paiement crédibles. - 02 En 2025, faux président et facture modifiée : 18 % de l'ingénierie sociale signalée au CERT.PT. - 03 MFA, transfert externe coupé, SPF/DKIM/DMARC et confirmation par téléphone ferment presque tout. - 04 DataRoad réalise le diagnostic de la messagerie Microsoft 365 en 5 jours ouvrés. ### Dans cet article Un seul paiement vers le mauvais IBAN suffit à effacer le bénéfice d'un trimestre. La **sécurité de la messagerie Microsoft 365** activée par défaut n'a pas été conçue pour l'empêcher : elle retient le spam, les virus répertoriés et les liens déjà signalés. Un message crédible, venu d'une vraie boîte mail, passe sans alerte. Combler cette brèche exige de la configuration et une discipline interne, et c'est précisément là qu'intervient la cybersécurité gérée de DataRoad. ## Quelle est l'ampleur du risque au Portugal ? Le Centro Nacional de Cibersegurança (CNCS) a publié en 2026 les chiffres de l'année précédente. Le CERT.PT a recensé 3 864 incidents en 2025, en hausse de 40 % par rapport à 2024. Parmi les cas d'ingénierie sociale signalés, 18 % étaient des fraudes où quelqu'un se faisait passer pour un dirigeant ou un fournisseur. Ces attaques n'apportent pas de virus. Elles apportent une demande banale, bien rédigée : régler une facture ou valider un mot de passe. ## Pourquoi le filtre de Microsoft ne les détecte-t-il pas ? Le moteur de filtrage recherche des ressemblances avec des menaces déjà connues. Il le fait très bien. Il ne lit pas les intentions. Un vrai fournisseur qui annonce avoir changé de banque écrit depuis son propre domaine, sans pièce jointe infectée ni adresse suspecte. Techniquement, tout est en ordre. ## Quelles sont les trois escroqueries qui passent le plus souvent ? ### 1. Le paiement détourné Le fraudeur accède à une boîte mail, la vôtre ou celle d'un fournisseur, et observe en silence. Quand arrive une facture d'un montant élevé, il écrit dans la même conversation pour indiquer un nouvel IBAN. Parfois, il utilise un domaine presque identique, à un caractère près. La défense coûte zéro euro : une politique écrite qui interdit d'accepter de nouvelles coordonnées bancaires par email. On appelle le fournisseur au contact déjà enregistré, jamais à celui qui figure dans le message. Nous détaillons la procédure dans le guide consacré aux [factures à IBAN modifié](https://www.dataroad-it.com/fr/fraude-email-iban-modifie-faux-president/). ### 2. L'écran de connexion cloné Un avis de « fichier partagé » ou de « boîte pleine » mène à une réplique de la page de connexion Microsoft. Le collaborateur saisit ses identifiants et livre son compte. L'attaquant crée ensuite une règle qui redirige vers l'extérieur tout ce qui parle de paiements. L'escroquerie n° 1 est alors lancée depuis l'intérieur de votre entreprise. La réponse, ici, c'est l'authentification multifacteur. Même avec le mot de passe en main, l'intrus reste bloqué sans le téléphone du collaborateur. Aucune autre mesure isolée ne réduit autant le vol de comptes. ### 3. Le QR code qui échappe au filtre Les liens étant de plus en plus scrutés, les attaquants cachent la destination dans un QR code à l'intérieur d'un PDF, d'une image ou d'une pièce jointe chiffrée que le filtre n'ouvre pas. La lecture se fait sur le téléphone personnel, loin des défenses de l'entreprise, et ce qui s'affiche est généralement une variante de l'escroquerie n° 2. ## Quels réglages ferment la porte, et combien coûtent-ils ? Aucun n'oblige à acheter un autre produit. Ce sont des paramètres du tenant lui-même et des règles de l'entreprise. | Réglage | Escroquerie bloquée | Résultat pour l'activité | | --- | --- | --- | | Authentification multifacteur généralisée | 2 et 3 | Les identifiants volés deviennent inutiles. | | Transfert vers l'extérieur désactivé | 1 et 2 | Aucune boîte compromise n'exporte de courrier à l'insu de tous. | | Enregistrements SPF, DKIM et DMARC | 1 | Le destinataire peut rejeter les imitations de votre domaine. | | Validation téléphonique de l'IBAN | 1 | Les coordonnées bancaires ne changent pas par message. | | Sessions de formation régulières | 1, 2 et 3 | L'équipe reconnaît l'urgence fabriquée et les demandes de confidentialité. | ### Transfert externe : qui décide ? Par défaut, cette stratégie est réglée sur « automatique, contrôlé par le système ». Microsoft recommande de fixer l'option explicitement, car le comportement varie d'un tenant à l'autre. Pour la plupart des PME, désactiver et approuver les exceptions au cas par cas est le choix sûr. ### SPF, DKIM et DMARC, en deux lignes chacun ? - **SPF**: déclare quels serveurs peuvent envoyer du courrier avec votre domaine. - **DKIM**: signe chaque message pour prouver qu'il est arrivé intact. - **DMARC**: indique au destinataire de rejeter, isoler ou simplement signaler les échecs, et lui envoie des rapports sur qui utilise votre nom. Selon Microsoft, n'activer qu'un ou deux de ces mécanismes laisse la protection à mi-chemin. La bonne démarche est progressive : recenser toutes les plateformes qui envoient des emails pour l'entreprise (facturation, newsletter, CRM), puis seulement durcir la politique. Un DMARC mal planifié peut bloquer vos propres factures. La base, c'est le [MFA sur tous les comptes](https://www.dataroad-it.com/fr/mfa-authentification-multifacteur-plan-14-jours/). Avant d'investir dans des outils supplémentaires, découvrez [les protections que votre licence Microsoft 365 inclut déjà](https://www.dataroad-it.com/fr/microsoft-365-gere-licences-sauvegarde-pme/). ## Quelle leçon tirer d'une migration de 50 boîtes mail ? Par appel d'offres public, l'União das Freguesias de Massamá e Monte Abraão a confié à DataRoad la [migration de près de 50 boîtes mail vers Exchange Online](https://www.dataroad-it.com/fr/massama-monte-abraao-migration-exchange-online/). Nous avons transféré emails, dossiers et données, reconfiguré ordinateurs et téléphones et validé le résultat. La migration est le moment idéal pour durcir la sécurité. Définir les bonnes règles une seule fois, pour 50 boîtes, coûte bien moins cher que de corriger boîte par boîte après une fraude. ## Que pouvez-vous faire dès cette semaine ? - Confirmer le MFA sur tous les comptes, y compris partagés et d'administration. - Exiger la liste des transferts actifs et enquêter sur toute destination externe inexpliquée. - Savoir dans quel mode se trouve le DMARC du domaine. - Formaliser par écrit la règle de confirmation téléphonique de l'IBAN. - Planifier une session pour [former l'équipe contre le phishing et les deepfakes](https://www.dataroad-it.com/fr/phishing-deepfakes-sensibilisation-equipe/). ## Les questions des décideurs ### La protection incluse dans Microsoft 365 suffit-elle ? Non, face à la fraude financière. Elle règle le spam et les malwares répertoriés, mais laisse passer des demandes légitimes sur la forme et frauduleuses sur le fond. La différence se fait par la configuration et les procédures. ### Faut-il acheter une solution supplémentaire ? Dans la plupart des cas, pas dans l'immédiat. Le premier gain vient de l'optimisation de ce que la licence paie déjà ; les outils supplémentaires s'évaluent ensuite, selon le secteur et le risque. ### Comment vérifier si le domaine a un DMARC actif ? Demandez à votre partenaire IT de lire les enregistrements DNS du domaine. Sans DMARC, ou avec un DMARC en simple surveillance, n'importe qui peut imiter votre entreprise avec très peu d'effort. ### Quelqu'un a saisi son mot de passe sur une fausse page. Quelle est la première étape ? Changer le mot de passe immédiatement et fermer toutes les sessions ouvertes. Ensuite, confirmer le MFA, auditer les règles et transferts récents et demander à la comptabilité de geler les paiements avec IBAN modifié des derniers jours. ## Diagnostic de votre messagerie Microsoft 365 en 5 jours ouvrés Nous auditons MFA, transferts, règles de boîtes mail et SPF, DKIM et DMARC, et vous remettons un plan de correction par priorité, sans engagement. La surveillance permanente est incluse dans [IT Unlimited Premium](https://www.dataroad-it.com/fr/it-unlimited-premium-assistance-site-illimitee/), dans le service [Microsoft 365 pour les entreprises](https://www.dataroad-it.com/fr/microsoft-365-entreprise-migration-gestion/) et dans la [cybersécurité gérée de DataRoad](https://www.dataroad-it.com/fr/cybersecurite-entreprise/). **Plus de 10 postes · contrat d'assistance · support à distance, sur site et par téléphone.** Appelez le +351 211 459 950 * ou écrivez à sales@dataroad.pt. **Appel vers un fixe portugais.* ## Sources - [Renascença: CNCS : la fraude au président représente 18 % des incidents d'ingénierie sociale signalés en 2025](https://rr.pt/noticia/pais/2026/04/21/fraudes-que-imitam-ceos-estao-a-disparar-em-portugal-veja-como-evitar-perder-dinheiro/467760/) - [Lusa / DNoticias, le CERT.PT a recensé 3 864 incidents en 2025 (+40 %)](https://www.dnoticias.pt/2026/4/28/490057-incidentes-de-seguranca-informatica-em-portugal-aumentaram-40-em-2025/) - [Microsoft Learn: Email authentication in Microsoft 365](https://learn.microsoft.com/en-us/defender-office-365/email-authentication-about) - [Microsoft Learn: Contrôle du transfert externe](https://learn.microsoft.com/en-us/defender-office-365/outbound-spam-policies-external-email-forwarding) Choisie par des entreprises reconnues et internationales ★★★★★ 5,0 · 52 avis Google ★★★★★ 5,0 · 52 avis Google DataRoad ## Articles associés [Infogérance et cybersécuritéÉquipes en déplacement : portables, mobiles et Wi-Fi public sûrsLe vrai risque en voyage est le portable perdu non chiffré, pas le Wi-Fi de l'hôtel. Disque chiffré, gestion centrale, MFA et connexion maît…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/cybersecurite-equipes-en-deplacement/)[Infogérance et cybersécuritéSurface d'attaque externe : ce qu'Internet voit de votre sociétéLes attaques automatisées cherchent des versions vulnérables, quelle que soit la taille de l'entreprise. En 2025, le CERT.PT a enregistré 3 …12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/surface-attaque-externe-entreprise/)[Infogérance et cybersécuritéNOC et cybersécurité gérée : qui surveille votre PME, et quandLa question n'est pas d'avoir un SOC : c'est qui reçoit l'alerte à 22 h un samedi et ce qu'il fait ensuite. Chez DataRoad, nuits, week-ends …12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/noc-soc-cybersecurite-geree-pme/)[Infogérance et cybersécuritéSécurité Microsoft 365 : les 10 contrôles qui vous incombentDans Microsoft 365, la plateforme appartient à Microsoft et les clés sont à vous. Selon Microsoft, le MFA et le blocage de l'authentificatio…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/microsoft-365-cybersecurite-geree-responsabilite/)[Infogérance et cybersécuritéRGPD et cybersécurité gérée : 10 contrôles techniques à prouverSans mesures techniques documentées, une violation de données passe d'incident IT à problème avec l'autorité de contrôle. Dix contrôles en t…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/rgpd-cybersecurite-geree-10-mesures-techniques/)[Infogérance et cybersécuritéMots de passe exposés : auditer le domaine et agir en 5 joursLe risque n'est pas l'e-mail dans une fuite : c'est le même mot de passe qui ouvre un compte professionnel. Changer ce qui est exposé, MFA p…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/identifiants-entreprise-fuites-de-donnees/)[Infogérance et cybersécuritéInventaire des actifs : la base de la gestion du parc et de NIS2Sans inventaire des actifs, pas de renouvellement planifié, pas de sécurité démontrable ni de réponse au CNCS. Les entités NIS2 doivent tran…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/inventaire-actifs-gestion-parc-informatique/)[Infogérance et cybersécuritéComptes break-glass Microsoft 365 : l'assurance de l'entrepriseUn administrateur bloqué peut laisser e-mail, Teams et fichiers sans gestion pendant des jours. Les comptes break-glass sont l'administrateu…12 octobre 2026 · 6 min de lecture](https://www.dataroad-it.com/fr/comptes-break-glass-microsoft-365/)[Infogérance et cybersécuritéWindows 365 en entreprise : quand le PC cloud réduit les coûtsLe PC cloud est rentable pour consultants, saisonniers, équipes sans bureau et parcs mixtes Mac et Windows. Pour la vidéo, la CAO ou un inte…12 octobre 2026 · 7 min de lecture](https://www.dataroad-it.com/fr/windows-365-pc-cloud-entreprise/) Des chiffres vérifiables **11** ans d’activité **232** clients **< 10 min** délai moyen de réponse **15+** Certifications IT de constructeurs **10+** Pays avec des clients accompagnés **5,0 ★** 52 avis Google Transparence ## Ce que beaucoup de prestataires taisent, nous le publions. [Voir les offres et les prix →](https://www.dataroad-it.com/it-unlimited/) - **Prix affichés** Essential dès 395 €/mois + TVA, Premium dès 750 € et Premium 365 dès 1 200 €. - **Sans engagement long** Contrat annuel, sans engagement et aucun frais d’adhésion. - **Tout par écrit** Ce qui est inclus, le périmètre et le prix, avant de signer. - **Support sans heures comptées** À distance et par téléphone dans tous les plans ; sur site à partir de Premium. Partenaires et certifications DataRoad · Cybersécurité gérée ## One StepAhead of IT. Le risque appartient à la direction, la protection est notre affaire. En 11 ans, DataRoad n’a jamais subi d’incident de sécurité. - **MFA** sur tous les comptes gérés - **Top 5%** PME · scoring.pt - **232** entreprises protégées We do **IT** right. DataRoad IT Unlimited ## Combien coûterait à votre entreprise une journée sans systèmes ? Demandez une évaluation des risques sans engagement. [Demander une proposition sans engagement →](https://www.dataroad-it.com/fr/#contact)+351 211 459 950 **Appel vers un fixe portugais · Plus de 10 postes · contrat d’assistance · support à distance, sur site et par téléphone[Vous ne savez pas ce qu’il vous faut ? Parlez à l’assistant →](https://www.dataroad-it.com/fr/#assistente) --- Versão HTML desta página: https://www.dataroad-it.com/fr/microsoft-365-fraudes-email-filtres/