Il n’y a pas d’écran rouge, pas de fichier chiffré, pas de demande de rançon. Une boîte e-mail compromise ne fait aucun bruit. C’est précisément ce qui la rend si dangereuse : l’entreprise continue de travailler normalement pendant qu’un inconnu lit sa correspondance.
Ce scénario porte un nom dans le jargon, le BEC pour « business email compromise ». Concrètement, c’est le piratage d’une messagerie professionnelle, suivi de son exploitation patiente. Pour une PME, c’est aujourd’hui l’un des incidents les plus coûteux, et l’un des plus faciles à prévenir.
Que fait réellement un attaquant dans votre messagerie ?
La première surprise, pour un dirigeant qui découvre l’incident, est que l’attaquant n’a rien détruit. Il a fait bien pire : il a appris.
Pendant des jours, parfois des semaines, il lit. Il repère qui décide, qui paie, qui valide. Il note vos tournures de phrase, vos formules de politesse, le nom de vos fournisseurs habituels, le rythme de vos échanges. Il constitue un dossier sur votre entreprise à partir de votre propre correspondance.
Puis il agit, selon trois modes principaux.
Le détournement de facture. C’est le plus rentable. L’attaquant attend qu’une vraie facture circule, l’intercepte, modifie les coordonnées bancaires et la renvoie depuis votre boîte, ou depuis une adresse très proche de la vôtre. Le client paie de bonne foi. Personne ne s’aperçoit de rien avant le rappel de paiement, souvent des semaines plus tard.
L’usurpation d’identité auprès de vos correspondants. Depuis votre adresse réelle, l’attaquant écrit à vos clients, à votre fiduciaire, à votre banque. Les contrôles techniques ne servent à rien : le message part vraiment de chez vous. Cette technique alimente aussi l’arnaque au président, où une demande de virement urgente semble venir de la direction.
Les règles de transfert cachées. L’attaquant crée dans votre messagerie une règle qui transfère automatiquement certains messages vers une adresse externe, puis les efface du dossier des éléments envoyés. Il continue de tout recevoir même après un changement de mot de passe. Ces règles sont souvent nommées de façon anodine, avec un simple point ou un espace comme intitulé.
Contrairement à un faux e-mail classique, il n'y a ici aucun indice technique à repérer : ni domaine approchant, ni erreur d'en-tête, ni faute de français. Vos clients reçoivent un message authentique, envoyé depuis votre serveur, dans un fil de discussion réel. C'est la raison pour laquelle la vérification par téléphone d'un changement d'IBAN est aujourd'hui indispensable, quel que soit l'expéditeur.
Comment une boîte e-mail se fait-elle pirater ?
Les portes d’entrée sont peu nombreuses et bien connues.
Un mot de passe saisi sur une fausse page. C’est la voie principale. Un message imite Microsoft, votre hébergeur ou votre banque, et vous conduit sur une page de connexion copiée à l’identique. Le sujet est traité en détail dans notre article sur l’hameçonnage. L’ampleur du phénomène est documentée en Suisse : au second semestre 2025, l’Office fédéral de la cybersécurité a reçu 6 299 annonces d’hameçonnage.
Un mot de passe réutilisé. Vous employez le même mot de passe pour votre messagerie professionnelle et pour un site tiers. Ce site se fait pirater, vos identifiants circulent, et des automates les rejouent sur des milliers de services. Aucune compétence particulière n’est requise. Nos recommandations figurent dans l’article sur les mots de passe.
L’absence de double authentification. Ce n’est pas la cause de l’intrusion, c’est ce qui la rend possible. Sans deuxième facteur, un mot de passe volé donne un accès immédiat et complet. Avec, il ne donne rien.
Le contexte suisse confirme que ce type de fraude n’a rien de marginal. En 2025, l’Office fédéral de la cybersécurité a enregistré 64 733 déclarations volontaires de cyberincidents, contre 62 954 l’année précédente. Au second semestre 2025, la fraude représentait à elle seule 52 % de toutes les annonces reçues, soit 15 090 signalements.
Les signaux d’une boîte compromise
Une compromission laisse des traces. Encore faut-il savoir où regarder.
| Signal observé | Ce que cela signifie | Urgence |
|---|---|---|
| Une règle de boîte de réception que vous n’avez pas créée | Signal quasi certain de compromission active | Immédiate |
| Des messages absents du dossier Envoyés, alors que vos correspondants les ont reçus | L’attaquant efface ses traces | Immédiate |
| Des connexions depuis un pays où vous n’avez aucune activité | Accès depuis l’extérieur, souvent via un service anonymisant | Immédiate |
| Un client vous signale un e-mail bizarre venu de vous | Exploitation déjà en cours auprès de tiers | Immédiate |
| Des notifications de double authentification non sollicitées | Quelqu’un possède votre mot de passe et tente d’entrer | Élevée |
| Des messages lus alors que vous ne les avez pas ouverts | Lecture silencieuse en cours | Élevée |
| Des non-remises massives pour des messages que vous n’avez pas envoyés | Votre boîte sert à diffuser du spam | Élevée |
| Une redirection automatique configurée sur votre compte | Copie systématique de votre courrier vers un tiers | Immédiate |
Les deux points à contrôler en priorité sont les règles de boîte de réception et l’historique de connexion. Dans Microsoft 365 comme dans Google Workspace, les deux sont accessibles en quelques clics depuis les paramètres du compte, et un contrôle trimestriel prend moins de dix minutes. Les autres réglages à obtenir de votre côté sont réunis dans notre article sur la sécurisation de Microsoft 365.
Que faire dans l’heure qui suit ?
L’ordre des gestes compte. Beaucoup d’entreprises changent le mot de passe et s’arrêtent là, ce qui laisse l’attaquant en place.
- Changez le mot de passe du compte concerné, depuis un appareil dont vous êtes certain qu’il est sain.
- Révoquez toutes les sessions actives. Une session ouverte survit au changement de mot de passe. Cette étape est celle qu’on oublie le plus.
- Activez la double authentification immédiatement, si ce n’était pas déjà fait.
- Inspectez les règles, les redirections et les accès délégués. Supprimez tout ce que vous n’avez pas créé, après en avoir gardé une copie d’écran.
- Contrôlez les applications connectées au compte et retirez celles que vous ne reconnaissez pas.
- Prévenez vos correspondants actifs sur la période, en particulier ceux avec qui des paiements étaient en discussion.
- Conservez les preuves. Journaux de connexion, captures des règles, messages frauduleux. Ils serviront à l’analyse, à l’assurance et à un éventuel dépôt de plainte.
Si un virement a déjà été effectué, contactez la banque sans attendre : un rappel de fonds reste parfois possible dans les toutes premières heures. La marche à suivre complète est détaillée dans notre article sur les premières heures après un incident.
La double authentification, la parade décisive
Toutes les mesures évoquées jusqu’ici sont utiles. Une seule change réellement l’équation.
La double authentification ajoute une preuve d’identité au mot de passe : un code temporaire généré par une application, une validation sur votre téléphone, ou une clé physique. Un attaquant qui dispose de vos identifiants se retrouve devant une porte qu’il ne peut pas ouvrir depuis son ordinateur.
C’est la mesure qui offre le meilleur rapport entre l’effort demandé et le risque évité. Elle est incluse sans supplément dans Microsoft 365, Google Workspace et chez la plupart des hébergeurs suisses. Son activation prend quelques minutes par utilisateur.
Commencez par les comptes qui font le plus de dégâts s'ils tombent : direction, comptabilité, administration informatique, adresses génériques du type facturation ou compta. Préférez une application d'authentification ou une clé physique aux codes par SMS, qui sont interceptables. Puis étendez à tous les collaborateurs. Un déploiement partiel bien ciblé vaut infiniment mieux qu'un projet complet reporté à l'an prochain.
Complétez par deux réflexes organisationnels. Le premier : tout changement de coordonnées bancaires se vérifie par téléphone, sur un numéro connu, jamais sur celui indiqué dans le message. Le second : au-delà d’un certain montant, un virement exige une double validation. Ces deux règles coûtent zéro franc et neutralisent l’essentiel du risque financier. La sécurisation technique de la messagerie est traitée dans notre article dédié à la sécurité des e-mails, et le déploiement pas à pas dans celui consacré à la double authentification.
Les suites juridiques à ne pas négliger
Une boîte e-mail professionnelle contient des données personnelles : adresses, coordonnées, échanges avec des clients, parfois des documents sensibles en pièce jointe. Sa compromission constitue donc une violation de la sécurité des données au sens de la loi suisse.
L’annonce au Préposé fédéral à la protection des données et à la transparence est due lorsque la violation entraîne vraisemblablement un risque élevé pour les personnes concernées. Deux précisions comptent ici. La loi suisse demande d’annoncer « dans les meilleurs délais » et ne fixe pas de délai de 72 heures : cette échéance appartient au règlement européen et lui seul. Et l’appréciation du risque élevé vous revient, ce qui suppose de documenter votre raisonnement, y compris si vous concluez qu’aucune annonce n’est nécessaire. Le cadre complet est détaillé dans notre article sur vos obligations nLPD.
Pensez enfin à vos sauvegardes. Un attaquant présent dans une messagerie a parfois accès à d’autres services, et la capacité de restaurer un état antérieur reste votre filet de sécurité. Le principe est expliqué dans la règle 3-2-1 des sauvegardes.
Pour situer votre exposition en quelques minutes, le check-up cyber consacre plusieurs questions à la messagerie et à l’authentification. Les autres attaques qui visent les PME romandes sont regroupées dans le pilier Menaces.