Figurer dans une fuite ne signifie pas que votre messagerie est piratée. Comment distinguer les deux, reconnaître la règle de transfert qui survit au...
Vous découvrez que votre adresse professionnelle figure dans une fuite de données. Le premier réflexe est de penser que votre messagerie a été piratée. C'est rarement le cas. Dans la grande majorité des situations, la fuite provient d'un service tiers auquel vous vous étiez inscrit — un fournisseur, une plateforme, un forum — dont la base de données a été dérobée.
La distinction est importante parce qu'elle détermine la gravité. Si seule votre adresse a circulé, le risque principal est de recevoir davantage de tentatives d'hameçonnage, mieux ciblées. Si un mot de passe accompagnait cette adresse, le risque devient sérieux: les attaquants essaient systématiquement les couples adresse et mot de passe volés sur d'autres services. Un mot de passe réutilisé transforme une fuite mineure chez un tiers en compromission de votre messagerie. Le service Have I Been Pwned permet de savoir si une adresse figure dans les fuites connues et publiquement recensées. Il est gratuit et sérieux. Cybermalveillance.gouv.fr, le dispositif national d'assistance, propose également des ressources sur la marche à suivre.
Une précision qui a son importance: ne pas apparaître dans ces bases ne prouve rien. Beaucoup de fuites ne sont jamais rendues publiques, d'autres circulent dans des cercles fermés pendant des années. L'absence de résultat est une bonne nouvelle, pas une garantie. Certains indices ne trompent pas et méritent une vérification immédiate. Des messages figurent dans vos éléments envoyés alors que vous ne les avez pas écrits. Des contacts vous signalent avoir reçu de votre part un courriel étrange. L'historique de connexion, consultable dans la plupart des messageries professionnelles, montre des accès depuis des pays où vous n'êtes jamais allé.
Mais le signe le plus révélateur est aussi le plus discret: la présence d'une règle de transfert automatique que vous n'avez pas créée. C'est le procédé favori des attaquants — il leur permet de continuer à recevoir une copie de votre courrier bien après que vous ayez changé votre mot de passe, sans jamais avoir besoin de se reconnecter. Cette règle est souvent nommée de façon anodine, parfois même vide de nom, et elle passe inaperçue pendant des mois.
L'ordre des opérations compte plus que les opérations
La réaction instinctive consiste à changer le mot de passe. C'est nécessaire, mais insuffisant, et surtout mal placé si l'on s'arrête là: un attaquant déjà connecté conserve sa session ouverte, et une règle de transfert continue de fonctionner.
La séquence efficace est la suivante. Changez le mot de passe depuis un appareil dont vous êtes sûr — si le poste habituel est peut-être infecté, utilisez-en un autre. Activez ensuite l'authentification à plusieurs facteurs, qui rend un mot de passe volé inutilisable seul. Puis, et c'est l'étape qu'on oublie, déconnectez toutes les sessions actives: la fonction existe dans les paramètres de sécurité de la plupart des messageries professionnelles. Sans cela, l'accès de l'attaquant survit au changement de mot de passe.
Inspectez alors les règles de la boîte, les transferts automatiques, les délégations d'accès et les mots de passe d'application éventuellement créés. Vérifiez enfin l'adresse de récupération et le numéro de téléphone associés au compte: les modifier est une autre manière, pour un attaquant, de conserver la main. Si des messages ont été envoyés depuis votre adresse, avertissez vos contacts — en particulier ceux avec qui vous échangez des documents financiers. Un simple message expliquant la situation évite qu'un client ne donne suite à une demande frauduleuse formulée en votre nom.
Si des coordonnées bancaires ou des demandes de virement ont circulé, prévenez immédiatement les destinataires par téléphone, pas par courriel. Le canal utilisé par l'attaquant ne peut pas servir à le démentir. Une boîte professionnelle contient presque toujours des données personnelles: coordonnées de clients, échanges avec des salariés, pièces jointes diverses. Sa compromission constitue donc une violation de données au sens du RGPD.
Cela n'implique pas nécessairement une notification à la CNIL, qui dépend du risque pour les personnes concernées. En revanche, l'incident doit dans tous les cas être consigné dans le registre des violations, et l'analyse du risque doit être menée. Si ce risque est avéré, la notification à la CNIL intervient dans les 72 heures suivant la prise de connaissance. Beaucoup d'entreprises traitent une messagerie compromise comme un incident purement technique et passent à côté de cette obligation. Une seule mesure réduit massivement le risque: un mot de passe différent pour chaque service. C'est irréalisable de mémoire, et parfaitement réalisable avec un gestionnaire de mots de passe. La fuite chez un tiers redevient alors ce qu'elle aurait toujours dû être — un incident sans conséquence pour vos autres comptes.
L'authentification à plusieurs facteurs sur la messagerie professionnelle complète le dispositif. Elle demande quelques secondes de plus à la connexion, et elle neutralise l'essentiel des attaques par mot de passe volé.
- CNIL — Notifier une violation de données personnelles
- Cybermalveillance.gouv.fr — Fiche réflexe: piratage de compte en ligne
- Have I Been Pwned
Article rédigé par TIA, l'assistant éditorial de TICLIC, et relu avant publication.