Dans une PME suisse romande, Microsoft 365 concentre presque tout ce qui compte : la messagerie, les fichiers, les échanges internes, souvent l’agenda et les contacts. Un attaquant qui obtient un accès valide à cet environnement n’a plus besoin de forcer quoi que ce soit. Il lit, il attend, il choisit son moment.
La bonne nouvelle est que l’essentiel des protections est déjà inclus dans votre abonnement. La mauvaise est qu’elles ne sont pas actives par défaut, et que personne ne viendra vous le rappeler.
Pourquoi la configuration par défaut ne suffit-elle pas ?
Un abonnement Microsoft 365 est livré pour fonctionner immédiatement, pour tout le monde, sans friction. C’est un choix commercial cohérent : un produit qui bloque ses utilisateurs le premier jour ne se vend pas.
Cette logique a une conséquence directe. Les réglages par défaut privilégient la facilité d’usage à la protection. Le partage de fichiers est large, les connexions depuis n’importe où sont acceptées, les journaux détaillés ne sont pas tous activés.
S’ajoute une confusion fréquente sur le partage des responsabilités. Microsoft garantit la sécurité de son infrastructure et la disponibilité du service. La configuration de votre environnement, elle, vous appartient : les comptes, les droits, les règles d’accès, la façon dont vos données sortent. Beaucoup de dirigeants croient de bonne foi avoir acheté un service sécurisé. Ils ont acheté un service sécurisable.
L'abonnement vous donne des serrures de bonne qualité. Il ne les ferme pas à votre place, et il ne décide pas qui reçoit une clé. La quasi-totalité des compromissions de messagerie professionnelle que connaissent les PME exploitent une configuration laissée par défaut, pas une faille du produit.
La double authentification, y compris pour l’administrateur
C’est la mesure la plus rentable de toute cette liste, et la seule qui soit véritablement non négociable. Un mot de passe volé, deviné ou récupéré dans une fuite ne suffit plus à entrer si une seconde preuve est exigée.
Deux points sont systématiquement manqués.
La couverture doit être totale. Une double authentification appliquée à quatorze personnes sur quinze protège quatorze personnes. L’attaquant cherche précisément la quinzième, et il la trouve : c’est souvent le compte d’un dirigeant qui a demandé une exception « parce que c’est pénible en déplacement », ou une adresse partagée du type info@ que personne ne considère comme un vrai compte.
Les comptes d’administration sont prioritaires. Ce sont eux qui permettent de créer des comptes, de changer les règles, de lire toutes les boîtes. Un compte d’administration sans double authentification annule l’intérêt de toutes les autres mesures. Vérifiez aussi combien de comptes disposent de ces droits : dans beaucoup de PME, ils sont trois ou quatre pour de simples raisons historiques, alors que deux suffisent.
Le fonctionnement détaillé des différentes méthodes, et leurs différences de robustesse, sont expliqués dans notre article sur la double authentification.
Les anciens protocoles, la porte qui contourne tout
Voici le point que presque aucune PME ne connaît, et qui explique une grande partie des compromissions malgré une double authentification activée.
Microsoft 365 accepte encore, dans certains environnements, des méthodes de connexion anciennes, héritées des logiciels de messagerie d’avant l’ère du web. Ces méthodes ont une caractéristique décisive : elles ne savent pas gérer une seconde étape de vérification. Une tentative de connexion qui passe par ce chemin présente un identifiant et un mot de passe, et rien d’autre ne lui est demandé.
Autrement dit, vous pouvez avoir activé la double authentification pour tout le monde et laisser subsister une entrée qui l’ignore entièrement. Les attaques automatisées testent en masse ce canal, précisément parce qu’il reste ouvert chez beaucoup d’organisations.
L’objectif à formuler est simple : plus aucune authentification ne doit être possible sans passer par la méthode moderne. La mise en œuvre demande de vérifier au préalable qu’aucun équipement ancien ne dépend de ces protocoles, typiquement un copieur multifonction qui envoie des documents scannés par courriel, ou un logiciel métier qui expédie des factures.
Comment repérer une boîte compromise ?
Un attaquant qui a obtenu un accès à une messagerie ne se manifeste pas. Son intérêt est de rester le plus longtemps possible, à lire, pour comprendre qui paie quoi et à quel moment. Il laisse pourtant presque toujours la même trace.
C'est le signe le plus fiable d'une messagerie détournée. L'intrus crée une règle qui recopie vers une adresse externe tous les messages contenant « facture », « IBAN » ou « paiement », puis les déplace dans un dossier que personne n'ouvre. Il continue de tout lire même après un changement de mot de passe. Faites lister les règles de transfert externes de toutes vos boîtes : cette vérification prend quelques minutes et révèle des intrusions vieilles de plusieurs mois.
Deux autres indices méritent une surveillance. Les connexions réussies depuis des pays où vous n’avez ni client ni collaborateur, visibles dans les journaux d’authentification. Et les alertes de double authentification que des employés reçoivent sans avoir tenté de se connecter, signe que quelqu’un dispose déjà du mot de passe et frappe à la porte.
Ce mode opératoire, et ce qu’il permet ensuite, sont détaillés dans notre article sur la compromission de messagerie professionnelle.
Vos fichiers sont-ils partagés plus largement que vous ne le pensez ?
SharePoint et OneDrive permettent de partager un document en générant un lien. Deux réglages par défaut posent problème.
Le premier est le type de lien proposé spontanément, qui peut donner accès à toute personne le possédant, sans authentification. Il suffit alors qu’il soit transféré une fois pour qu’il échappe à votre contrôle.
Le second est l’absence d’expiration. Un lien créé pour un échange ponctuel reste actif indéfiniment, y compris après le départ du prestataire ou du client concerné.
L’objectif à demander tient en deux phrases. Le lien proposé par défaut doit viser des personnes désignées, et non « toute personne disposant du lien ». Les liens externes doivent expirer automatiquement après un délai raisonnable.
| Ce qu’il faut obtenir | Pourquoi | Qui peut le faire |
|---|---|---|
| Double authentification pour tous, sans exception | Neutralise les mots de passe volés | Prestataire, ou vous avec de l’aide |
| Anciens protocoles d’authentification bloqués | Ferme le contournement de la double authentification | Prestataire, après inventaire |
| Comptes d’administration limités et protégés | Réduit la cible la plus recherchée | Vous, en décidant qui a besoin des droits |
| Alerte sur les nouvelles règles de transfert externe | Détecte une boîte compromise en jours, pas en mois | Prestataire |
| Liens de partage restreints et à durée limitée | Empêche vos documents de circuler sans fin | Prestataire |
| Journalisation des connexions activée et conservée | Permet de comprendre après coup ce qui s’est passé | Prestataire |
Comment vérifier l’état actuel sans être informaticien ?
Vous n’avez pas besoin de savoir configurer quoi que ce soit pour savoir où vous en êtes. Vous avez besoin de poser les bonnes questions et d’exiger des réponses écrites.
Combien de nos comptes n'ont pas la double authentification activée, et lesquels ? Combien de comptes disposent de droits d'administration ? Les anciens protocoles d'authentification sont-ils bloqués ? Quelles boîtes ont une règle de transfert vers une adresse externe ? Les liens de partage externes expirent-ils, et après combien de temps ? Depuis combien de temps les journaux de connexion sont-ils conservés ? Demandez la réponse par écrit, avec des chiffres. Un « tout est en ordre » n'est pas une réponse.
Microsoft met par ailleurs à disposition, dans l’espace d’administration, un indicateur de niveau de sécurité qui note votre configuration et propose des actions classées par effet. Ce n’est pas un audit, et un bon score ne signifie pas que vous êtes protégé. C’est en revanche un excellent point de départ pour une discussion factuelle avec votre prestataire.
En parallèle, l’outil de vérification d’e-mail vous indique en quelques secondes si votre domaine est correctement configuré contre l’usurpation, un sujet voisin traité dans notre article sur SPF, DKIM et DMARC.
Ce qui relève d’un professionnel
Vous pouvez décider seul qui a besoin de droits d’administration, exiger la double authentification partout, et poser les six questions ci-dessus. C’est déjà considérable, et cela vous place au-dessus de la majorité des PME de votre taille.
Trois choses demandent en revanche quelqu’un qui sait où regarder. Le blocage des anciens protocoles, parce qu’il faut d’abord inventorier les équipements et logiciels qui en dépendent, sous peine d’interrompre l’envoi de vos factures. La mise en place de règles d’accès conditionnelles, qui adaptent le niveau d’exigence selon l’appareil et la provenance de la connexion. Et la relecture des droits accumulés au fil des années sur vos espaces de fichiers, un exercice que résume notre article sur la gestion des accès.
Un dernier point, souvent oublié : Microsoft 365 conserve vos données, il ne les sauvegarde pas au sens où vous l’entendez. La corbeille et l’historique de versions ont des durées limitées, et un élément supprimé volontairement peut disparaître définitivement. La question est traitée dans la règle 3-2-1 des sauvegardes.
Ces réglages forment un socle réel, pas une garantie. Chaque environnement porte des habitudes et des exceptions qui lui sont propres, et seule une revue de votre configuration dira ce qui manque chez vous. Pour situer votre niveau général, le check-up cyber vous donne une première mesure, et le pilier Bonnes pratiques regroupe les mesures voisines.