Un client dit avoir reçu un mail bizarre de vous : que faire dans les 10 minutes

Votre téléphone sonne. Un client vous dit : “J’ai reçu un mail bizarre de votre part, avec une pièce jointe étrange” — ou pire, une demande de virement urgent signée de votre nom. Vous n’avez rien envoyé de tel. C’est le signal le plus fiable d’une messagerie professionnelle compromise, et le CERT-FR est formel : dans ce cas, il ne faut pas attendre de comprendre — il faut endiguer, dans l’ordre, tout de suite.

Premier réflexe : ne pas paniquer, mais ne rien laisser traîner

Un mail suspect envoyé depuis votre adresse peut avoir deux origines : votre compte a réellement été piraté (un attaquant s’est connecté avec votre mot de passe), ou votre adresse a simplement été usurpée en apparence (“spoofing”, sans accès réel à votre boîte). Dans les deux cas, la procédure de vérification est la même dans les premières minutes — mieux vaut traiter le pire scénario par défaut que de perdre du temps à trancher.

Les actions dans les 10 minutes (dans cet ordre)

1. Changez immédiatement le mot de passe de la messagerie — un mot de passe fort, différent de tout autre compte. Si vous ne pouvez plus vous connecter (mot de passe déjà changé par l’attaquant), contactez sans délai votre hébergeur ou administrateur de messagerie pour reprendre la main.
2. Déconnectez toutes les sessions actives du compte (option “déconnecter partout” ou “révoquer les sessions” dans les paramètres de sécurité) — un changement de mot de passe seul ne suffit pas si l’attaquant a une session déjà ouverte ailleurs.
3. Vérifiez les règles de transfert et de suppression automatique créées dans vos paramètres — c’est le point que le CERT-FR identifie comme signature typique d’une compromission : un attaquant crée une règle qui transfère discrètement vos mails vers une autre adresse, ou qui supprime automatiquement les réponses de vos contacts pour masquer son activité. Si une règle que vous n’avez jamais créée existe, supprimez-la — et si elle réapparaît après suppression, c’est le signe que l’accès frauduleux est toujours actif : le mot de passe ne suffit plus, il faut couper l’accès plus en profondeur (support technique).
4. Activez la double authentification (MFA) si ce n’est pas déjà fait — c’est la protection qui empêche un mot de passe volé, seul, de suffire à se reconnecter.
5. Prévenez vos contacts sans attendre d’avoir toutes les réponses — un message court à votre carnet d’adresses professionnel (“ma messagerie a été compromise, ignorez tout mail suspect reçu récemment de ma part, en particulier toute demande de paiement ou de coordonnées bancaires”) limite la propagation pendant que vous traitez le reste.
6. Vérifiez les délégations d’accès à la boîte (partages, accès secondaires) — le CERT-FR rappelle qu’un compte ayant délégué l’accès à un autre compte compromis doit lui aussi être considéré comme potentiellement compromis.

Pourquoi le client qui vous alerte doit être pris au sérieux

Le signalement d’un client est souvent le tout premier signe visible d’une compromission — avant même que vous ne remarquiez quoi que ce soit d’anormal de votre côté. La CNIL rappelle que face à ce type d’attaque, la vérification doit aussi passer par un appel téléphonique direct : si un mail envoyé “en votre nom” demandait un paiement ou un changement de coordonnées bancaires, appelez votre client pour confirmer de vive voix qu’aucune somme n’a été virée sur cette base. C’est souvent plus rapide et plus fiable qu’une longue explication par mail — canal que le client, à juste titre, ne considère plus comme fiable dans l’instant.

Ce qu’il ne faut pas négliger après les 10 premières minutes

Une fois l’endiguement immédiat fait, deux points ne doivent pas être oubliés :

• L’ampleur réelle de l’incident. Le CERT-FR insiste : ne pas se limiter au changement de mot de passe. Il faut vérifier si des fichiers sensibles étaient accessibles depuis la boîte (pièces jointes, partages liés type SharePoint ou équivalent), et identifier comment l’attaquant est entré (hameçonnage, mot de passe réutilisé ailleurs) pour éviter que la même porte ne soit réutilisée.
• L’obligation légale si des données personnelles sont concernées. Si la messagerie compromise contenait des données personnelles de clients ou de salariés (contacts, factures, dossiers), le RGPD impose de notifier la CNIL dans les 72 heures suivant la découverte de l’incident — même avec une notification incomplète au départ. Consignez l’incident dans un registre interne dans tous les cas, même si vous concluez à l’absence de risque pour les personnes concernées.

Un dépôt de plainte est également recommandé — l’usurpation d’identité et la fraude qui peuvent découler d’un tel piratage constituent des infractions pénales, et la plainte peut être nécessaire pour vos démarches ultérieures (banque, assurance).

La leçon derrière ce scénario

Une messagerie professionnelle compromise ne reste presque jamais un incident isolé : elle expose vos contacts, vos fichiers, et potentiellement vos clients à une fraude par usurpation. La bonne nouvelle, c’est que la fenêtre pour limiter les dégâts se compte en minutes, pas en jours — à condition de savoir exactement quoi vérifier en premier. C’est ce type de procédure d’endiguement, testée et prête avant l’incident plutôt qu’improvisée pendant, que couvre une infogérance managée : la différence entre un client qui vous alerte à temps et un mot de passe changé trop tard.

À retenir

Dès qu’un client signale un mail suspect envoyé “de votre part” : changez le mot de passe, déconnectez les sessions actives, traquez la règle de transfert cachée, activez le MFA, prévenez vos contacts — dans cet ordre, sans attendre d’avoir toutes les certitudes.

Source : CERT-FR, fiches réflexes “Compromission d’un compte de messagerie” — Qualification (CERTFR-2024-RFX-003) et Endiguement (CERTFR-2024-RFX-004), Cybermalveillance.gouv.fr, “Que faire en cas de piratage d’une boîte mail ?”, CNIL, “Violation du trimestre : les attaques sur les messageries” et CNIL, notification d’une violation de données personnelles.