--- title: "Compromission de compte : ce que les récentes cyberattaques récentes nous apprennent" description: "Identifiants volés, comptes à privilèges, règles de transfert : les cyberattaques de 2026 montrent quels signaux détecter avant l'exfiltration." image: https://blog.idecsi.com/hubfs/compromission-de-compte-cyberattaques-recentes-dsi-3d.png --- [![Logo-Idecsi-Black-tagline](https://blog.idecsi.com/hs-fs/hubfs/LOGOS%20IDECSI/LOGOS%20OFFICIELS/Logo-Idecsi-Black-tagline.png?width=1010&height=319&name=Logo-Idecsi-Black-tagline.png)](https://www.idecsi.com/fr/) - [Pourquoi IDECSI](https://www.idecsi.com/fr/pourquoi-choisir-idecsi/) - Solutions DETOX® pour M365 Diagnostic, Remédiation, ROI [Découvrez DETOX](https://info.idecsi.com/detox-donnees-partagees-m365?hsLang=fr) ![résultats gains sécurité](https://blog.idecsi.com/hubfs/ILLU-4.png) Solutions La plateforme IDECSI résout les problématiques essentielles liées aux données : DSPM, Data Access Governance, Human Risk Management, Data Volume Management - [![download\_done](https://blog.idecsi.com/hubfs/download_done.svg) Sécurité des données M365](https://www.idecsi.com/fr/solution/mydatasecurity/) - [![download\_done](https://blog.idecsi.com/hubfs/download_done.svg) Stockage et volumétrie M365](https://www.idecsi.com/fr/solution/mydatamanagement/) - [Cas d'usage](https://www.idecsi.com/fr/challenges-m365/) Checklist M365 15 signaux d'alerte que vos données sont à risque [Voir la checklist](https://blog.idecsi.com/hubfs/IDECSI%20-%20Checklist%2015%20signaux%20d%E2%80%99alerte.pdf?hsLang=fr) ![Checklist risques M365](https://blog.idecsi.com/hubfs/Frame-2147255341.png) Vos défis 2026 Sécurité, gouvernance & volumétrie des données sur Microsoft 365 - [![download\_done](https://blog.idecsi.com/hubfs/download_done.svg) Eviter l'exposition des données sensibles](https://www.idecsi.com/fr/challenge/donnees-sensibles/) - [![download\_done](https://blog.idecsi.com/hubfs/download_done.svg) Gérer les accès externes](https://www.idecsi.com/fr/challenge/acces-externes/) - [![download\_done](https://blog.idecsi.com/hubfs/download_done.svg) Assurer la conformité réglementaire](https://www.idecsi.com/fr/challenge/conformite/) - [![download\_done](https://blog.idecsi.com/hubfs/download_done.svg) Sécuriser l'IA Copilot](https://www.idecsi.com/fr/challenge/deploiement-copilot/) - [![download\_done](https://blog.idecsi.com/hubfs/download_done.svg) Optimiser le coût de stockage](https://www.idecsi.com/fr/challenge/optimiser-stockage-m365/) - [![download\_done](https://blog.idecsi.com/hubfs/download_done.svg) Sensibiliser vos utilisateurs](https://www.idecsi.com/fr/challenge/sensibilisation/) - [Clients](https://blog.idecsi.com/fr/ressources-clients?hsLang=fr) - Ressources Livre blanc Les bonnes pratiques pour préparer ses données à Copilot M365 [Télécharger le guide](https://info.idecsi.com/livre_blanc_copilot?hsLang=fr) ![Livre blanc Copilot sécurité des données](https://blog.idecsi.com/hubfs/Frame-2147255339.png) Nos ressources Consulter nos ressources utiles pour améliorer la gouvernance des données - [![download\_done](https://blog.idecsi.com/hubfs/download_done.svg) Blog](https://blog.idecsi.com/fr/) - [![download\_done](https://blog.idecsi.com/hubfs/download_done.svg) Help Center](https://help.idecsi.com/) - [![download\_done](https://blog.idecsi.com/hubfs/download_done.svg) Ressources & Actualités](https://blog.idecsi.com/fr/ressources?hsLang=fr) - - [Français](https://blog.idecsi.com/fr/compromission-compte-cyberattaques) - [English](https://blog.idecsi.com/account-compromise-detection) Rechercher [Demandez une démo](https://info.idecsi.com/fr/demo-idecsi?hsLang=fr) Microsoft 365 12 novembre 2026 # Compromission de compte : ce que les cyberattaques récentes apprennent aux DSI ![](https://4272098.fs1.hubspotusercontent-na1.net/hubfs/4272098/compromission-de-compte-cyberattaques-recentes-dsi-3d.png) - [Accueil](https://www.idecsi.com/fr/) - [Blog](https://blog.idecsi.com/fr) - Compromission de compte : ce que les cyberattaques récentes apprennent aux DSI En août 2026, le ministère chargé des Comptes publics a confirmé qu'un attaquant avait consulté et extrait des données concernant près de 678 000 particuliers et professionnels au sein du système d'information de la DGFiP. Le [rapport d'incident publié par l'ANSSI](https://cyber.gouv.fr/actualites/lanssi-publie-le-rapport-dincident-sur-les-cyberattaques-ayant-touche-la-dgfip/) le 29 septembre 2026 tranche un point essentiel : cette compromission **n'est pas la conséquence d'une attaque sophistiquée**. L'attaquant s'est connecté avec des identifiants valides d'agents. Ce scénario n'est pas isolé. Dans le secteur public comme dans le privé, sur Microsoft 365 comme sur des applications métier, plusieurs intrusions majeures récentes commencent par un compte légitime. L'attaquant ne force plus la porte : il se connecte. Pour une DSI, la question change. Bloquer la connexion reste nécessaire, mais ne suffit plus. Il faut aussi repérer ce qu'un compte en apparence légitime fait d'anormal avec les données. ## Qu'est-ce qu'une compromission de compte ? Une compromission de compte désigne l'utilisation d'un compte légitime par une personne non autorisée, à l'aide d'un identifiant, d'un mot de passe, d'une session ou d'un jeton d'authentification. L'attaquant agit alors avec les droits du titulaire : il lit, télécharge, partage ou modifie des données sans déclencher les protections conçues contre les intrusions techniques. La différence avec l'exploitation d'une vulnérabilité est structurante pour la détection :   | **Critère** | **Exploitation d'une vulnérabilité** | **Compromission de compte** | | --- | --- | --- | | **Point d'entrée** | Une faille logicielle ou de configuration | Des identifiants ou des jetons valides | | **Ce que voit la connexion** | Souvent un comportement technique anormal | Une authentification réussie, parfois avec MFA validée | | **Où l'attaque devient visible** | Sur le système exploité | Dans l'usage des données et des droits |   Le compte de messagerie occupe une place à part. Il [permet de réinitialiser les mots de passe d'autres applications](https://www.proofpoint.com/fr/threat-reference/compromised-account) et peut servir de point de départ à une élévation de privilèges. C'est pourquoi le CERT-FR consacre une [fiche réflexe spécifique à la compromission d'un compte de messagerie](https://cert.cyber.gouv.fr/uploads/CERTFR-2024-RFX-004-2.pdf). ## Trois cyberattaques récentes qui commencent par un compte compromis Dans les trois cas, l'attaquant s'appuie sur un compte valide, puis sur ses droits.   | **Organisation** | **Période** | **Point d'entrée** | **Ce que l'attaquant a fait ensuite** | | --- | --- | --- | --- | | **DGFiP** | Mai à août 2026 | Identifiants d'agents volés, absence d'authentification forte sur deux portails | Deux vagues d'exfiltration, non détectées | | **Storm-2949 (campagne documentée par Microsoft)** | Rapport publié le 18 mai 2026 | Réinitialisation de mot de passe détournée par ingénierie sociale | Téléchargement de milliers de fichiers en une seule action | | **France Travail / Missions locales** | Annoncé le 1er décembre 2025 | Compte d'un gestionnaire d'habilitations piraté | Création de deux comptes pour consulter les dossiers |   ### DGFiP : des identifiants valides et des signaux non exploités Selon le [rapport de l'ANSSI](https://cyber.gouv.fr/actualites/lanssi-publie-le-rapport-dincident-sur-les-cyberattaques-ayant-touche-la-dgfip/), l'attaquant a utilisé des identifiants d'agents volés après leur usage sur des équipements personnels, probablement par des logiciels voleurs d'identifiants (infostealers). Près d'une trentaine de comptes étaient compromis, dont 7 comptes externes, selon [l'analyse du rapport publiée par Next](https://next.ink/259041/piratage-de-la-dgfip-pas-dattaque-sophistiquee-mais-une-serie-de-defaillances-techniques/). Deux portails donnant accès à des ressources sensibles n'avaient pas d'authentification forte. Des indices existaient : connexions nocturnes, adresses IP situées à l'étranger, usage de VPN. Ils **n'ont pas été corrélés**. Aucune des deux vagues d'exfiltration n'a été détectée, ni par la DGFiP, ni par l'ANSSI. ### Storm-2949 : le support informatique comme porte d'entrée [Microsoft a documenté le 18 mai 2026](https://www.microsoft.com/en-us/security/blog/2026/05/18/storm-2949-turned-compromised-identity-into-cloud-wide-breach/) une campagne menée par un acteur nommé Storm-2949. Les attaquants déclenchaient la réinitialisation de mot de passe en libre-service d'Entra ID au nom de la victime. Ils se faisaient ensuite passer pour le support informatique pour obtenir l'approbation des demandes MFA. Une fois le compte repris, ils supprimaient les méthodes d'authentification existantes et enregistraient leur propre application Microsoft Authenticator. Les cibles étaient des membres des équipes informatiques et de la direction. Dans OneDrive et SharePoint, les attaquants recherchaient des documents sur les configurations VPN et les accès distants. Dans un cas, des milliers de fichiers ont été téléchargés **en une seule action** via l'interface web de OneDrive. Le schéma s'est répété sur chaque compte compromis, chacun donnant accès à des dossiers différents. ### France Travail : le compte qui gère les droits des autres Le 1er décembre 2025, [France Travail a annoncé](https://www.francetravail.org/files/live/sites/peorg/files/documents/Communiqu%c3%a9%20de%20presse/2025/20251201-%20CP%20-%20Le%20r%c3%a9seau%20des%20Missions%20locales%20et%20France%20Travail%20victimes%20dune%20cyberattaque.pdf) qu'un compte de responsable gestion de compte d'une Mission locale avait été piraté. Ce rôle traite les demandes d'habilitation au système d'information partagé. Avec ses droits, l'attaquant a créé deux nouveaux comptes via ProConnect, puis consulté les dossiers d'**environ 1,6 million de jeunes**. Les données susceptibles d'avoir été exposées comprennent nom, date de naissance, numéro de sécurité sociale, coordonnées et identifiant France Travail. Aucun mot de passe ni coordonnée bancaire n'aurait été extrait, selon l'organisme. ### À retenir : le compte compromis n'est pas toujours chez vous Le 3 octobre 2026, la Région Hauts-de-France a annoncé que deux de ses prestataires avaient subi une cyberattaque permettant un accès non autorisé à des données traitées pour son compte. Près de 545 000 personnes seraient concernées, [selon le président de Région](https://www.techniques-ingenieur.fr/actualite/breves-afp/cyberattaque-dans-les-hauts-de-france-plus-de-500-000-personnes-touchees-selon-la-region-164436/). Le mode opératoire n'a pas été rendu public. Ce cas rappelle qu'une partie de l'exposition se situe chez les tiers qui accèdent aux données, ce qui impose de **revoir régulièrement les accès externes**. ## Comment les identifiants sont-ils volés en 2026 Quatre vecteurs d’attaque se dégagent des incidents récents, sans qu’aucun n’exploite de faille du système ciblé : - **Les logiciels voleurs d'identifiants.** Installés sur un appareil personnel ou non géré, ils récupèrent les mots de passe enregistrés. C'est la piste privilégiée dans le cas de la DGFiP. - **Le faux support informatique.** Le 9 septembre 2026, [Microsoft a décrit une campagne active depuis mai 2026](https://www.microsoft.com/en-us/security/blog/2026/09/09/passkey-themed-social-engineering-leads-identity-cloud-compromise/) : l'attaquant contacte la victime en se présentant comme le support, avec pour prétexte une mise à jour de passkey, de MFA ou de SSO. Il capture ensuite identifiants et jetons de session via une page intermédiaire, ou fait valider un code d'appareil à son profit. - **Le détournement des fonctions de récupération.** Storm-2949 a utilisé la réinitialisation de mot de passe en libre-service pour reprendre des comptes à privilèges. - **Les comptes de tiers habilités.** Prestataires, partenaires et organismes associés disposent d'accès légitimes, souvent moins surveillés. Les cas DGFiP et France Travail impliquent tous deux des comptes situés hors du cœur de l'organisation. Dans la campagne décrite en septembre, l'attaquant ajoutait ensuite une méthode d'authentification sous son contrôle pour garder l'accès. Il cartographiait les utilisateurs et les contenus via Microsoft Graph, puis accédait à SharePoint, OneDrive et à la messagerie. Microsoft qualifie l'exfiltration de potentielle : les journaux ne prouvent pas toujours quel document a été téléchargé. Face à ces techniques, Microsoft recommande une **MFA résistante au phishing**, comme les clés FIDO2 ou Windows Hello for Business. ## Détecter un accès non autorisé : les signaux après la connexion Une fois connecté, l'attaquant laisse des traces dans l'usage des données et des droits. Ce sont ces traces qu'il faut surveiller, car la connexion elle-même paraît souvent normale. | **Signal** | **Exemple observé** | **Où l'observer** | | --- | --- | --- | | **Accès ou téléchargement massif de fichiers** | Storm-2949 : milliers de fichiers en une action | Journaux d'audit SharePoint et OneDrive | | **Règle de boîte mail créée juste après l'accès** | Étude Proofpoint, voir ci-dessous | Règles de boîte et transferts externes | | **Nouvelle méthode d'authentification enregistrée** | Storm-2949, campagne de faux support | Journaux d'audit de l'annuaire d'identité | | **Création de comptes ou attribution de droits par un compte d'administration** | France Travail | Journaux de gestion des habilitations | | **Connexions à des horaires ou depuis des lieux inhabituels** | DGFiP | Journaux de connexion | | **Nouveaux droits sur une boîte ou un espace (délégation, accès complet, envoi au nom de)** | Mesure d'endiguement prévue par le CERT-FR | Droits de messagerie et de partage |   Les règles de boîte mail méritent une attention particulière. [Proofpoint a analysé les comptes compromis au quatrième trimestre 2025](https://www.proofpoint.com/us/blog/threat-insight/mailbox-rules-o365-post-exploitation-tactic-cloud-ato) : environ 10 % présentaient au moins une règle malveillante. Dans certains cas, la règle était créée **environ 5 secondes** après la prise de contrôle du compte. Dans les entreprises, les cibles sont surtout les fonctions finance, paie et assistance de direction, typiques de la [fraude par compromission de messagerie (BEC)](https://blog.idecsi.com/fr/business-email-compromise-bec-microsoft-365?hsLang=fr). Un signal isolé ne prouve rien. Une connexion nocturne peut être légitime, un téléchargement important aussi. C'est **la corrélation qui fait l'alerte** : dans le cas de la DGFiP, l'ANSSI relève précisément qu'aucun mécanisme ne corrélait les signaux suspects. Résultats de campagne Cergy-Pontoise agglomération![](https://blog.idecsi.com/hubfs/Cergy-Pontoise-Agglo-Logo.png) **1 796**risques supprimésdès la 1re campagne Risques supprimés par les utilisateurs 1re campagne**50 %** 2e campagne, sur les restants**70 %** Partage retiréEn 1 clicpar le propriétaire des données Démo personnalisée Votre démo personnalisée en 30 minutes Protégez vos données grâce à la solution IDECSI, conçue pour les tenants Microsoft 365. [Assister à une démo](https://info.idecsi.com/fr/demo-idecsi?hsLang=fr) **4,6/5** Gartner Peer Insights   ## Pourquoi la détection à la connexion ne suffit pas Les outils de protection des identités restent indispensables. Mais les cas de 2026 montrent trois limites lorsqu'ils sont seuls. **La connexion paraît légitime.** Avec des identifiants valides et une MFA approuvée par la victime elle-même, l'authentification réussit normalement. Storm-2949 et la campagne de faux support reposent sur ce principe. **Réinitialiser le mot de passe ne coupe pas toujours l'accès.** L'ANSSI rappelle qu'une réinitialisation n'est efficace que si l'appareil compromis est aussi nettoyé. À la DGFiP, la réinitialisation d'un compte signalé fin juin n'a pas interrompu l'exfiltration en cours. **Les fonctions détournées sont légitimes.** Réinitialisation en libre-service, interface web de OneDrive, API Microsoft Graph, outils de gestion des habilitations : aucun logiciel malveillant n'est nécessaire, et aucun antivirus ne se déclenche. La détection doit donc couvrir un second niveau : ce que fait le compte une fois connecté, sur quelles données et avec quels droits. ## Du signal à l'alerte DSI : organiser la réponse Une alerte n'a de valeur que si elle débouche sur une action rapide. Pour un compte de messagerie compromis, la [fiche réflexe du CERT-FR](https://cert.cyber.gouv.fr/uploads/CERTFR-2024-RFX-004-2.pdf) (CERTFR-2024-RFX-004, version du 11 août 2025) prévoit notamment : 1. Bloquer le compte en attendant la levée de doute avec l'utilisateur. 2. Révoquer les sessions et jetons actifs, puis forcer la réinitialisation du mot de passe. 3. Supprimer les méthodes MFA ajoutées illégitimement. 4. Supprimer les délégations illégitimes et désactiver les règles de transfert vers un compte tiers. 5. Nettoyer les accès d'applications tierces et les actions d'administration illégitimes. 6. Révoquer les sessions de tous les comptes de l'organisation associés à la victime. Pour répondre à ces intrusions et menances, la solution IDECSI propose une couche d’advanced monitoring et d’alerting temps réel, opérée par l’équipe AMT (Advanced Monitoring Team), son service d’infogérance. La plateforme détecte les nouvelles activités de partage, les accès à risque et les connexions suspectes. Elle surveille les schémas d’accès inhabituels, les localisations anormales et les téléchargements massifs, des signaux qui permettent d’identifier des suspicions de fraude ou d’usurpation de compte. Elle met aussi en évidence les droits à risque : droits d’administration, accès complets à des boîtes individuelles, transferts externes, droits d’envoi au nom d’un tiers. Ces signaux deviennent des alertes priorisées en cas de menace et peuvent être transmises au SOC dans l’offre Advanced. L’AMT est en support des équipes sécurité de clients comme L’Oréal, la SNCF. Côté utilisateurs, [la revue des droits et des accès](https://blog.idecsi.com/fr/revue-acces-partages-priorite-microsoft?hsLang=fr) permet d'impliquer les propriétaires de la donnée dans la levée de doute ou de nettoyer le tenant après une compromission avérée. ## Conclusion Les compromissions de compte récentes ont un point commun : elles se détectent rarement à l'entrée, presque toujours dans l'usage des données. Un compte qui télécharge des milliers de fichiers, crée une règle de transfert ou s'attribue de nouveaux droits signale un problème, même si sa connexion était parfaitement valide. Pour aller plus loin sur le volet messagerie, consultez notre article sur le [Business Email Compromise (BEC)](https://blog.idecsi.com/fr/business-email-compromise-bec-microsoft-365?hsLang=fr).   ## FAQ Qu'est-ce qu'une compromission de compte en entreprise ? C'est l'utilisation d'un compte professionnel légitime par une personne non autorisée. L'attaquant hérite des droits du titulaire sur la messagerie, les fichiers et les applications. Il n'a donc besoin d'aucune faille technique pour accéder aux données. Quels sont les signes qu'un compte Microsoft 365 a été compromis ? Les signes les plus fréquents sont une règle de boîte mail inconnue, un transfert vers une adresse externe, une nouvelle méthode d'authentification ou des téléchargements massifs sur OneDrive ou SharePoint. Des connexions à des horaires ou depuis des lieux inhabituels doivent aussi alerter. Pris isolément, aucun de ces signes n'est une preuve : c'est leur combinaison qui justifie une investigation. Comment détecter un accès non autorisé si l'attaquant utilise des identifiants valides ? Il faut surveiller ce que fait le compte après la connexion, pas seulement la connexion. Les écarts par rapport aux usages habituels sont les plus révélateurs : volume d'accès, données sensibles consultées, droits ajoutés, partages créés. La corrélation de ces signaux permet de transformer des indices faibles en alerte exploitable. La solution IDECSI agit comme un système d'alerte. La MFA suffit-elle à empêcher la compromission d'un compte ? Non. Des campagnes documentées par Microsoft en 2026 obtiennent l'approbation MFA de la victime en se faisant passer pour le support informatique, ou capturent les jetons de session. Une MFA résistante au phishing, comme les clés FIDO2, réduit fortement ce risque, mais la surveillance des accès reste nécessaire. Que faire dans la première heure après la découverte d'un compte compromis ? Bloquer le compte, révoquer ses sessions et jetons actifs, puis réinitialiser le mot de passe. Supprimer ensuite les méthodes MFA, règles de transfert et délégations ajoutées par l'attaquant. Le CERT-FR détaille ces étapes dans sa fiche réflexe sur la compromission d'un compte de messagerie. Articles récents [Identifier et classifier les données sensibles dans Microsoft 365 : pourquoi les métiers doivent s'impliquer](https://blog.idecsi.com/fr/classer-donnees-sensibles-implication-metiers?hsLang=fr) [Remédiation des droits d'accès Microsoft 365 : comment DETOX accélère la correction](https://blog.idecsi.com/fr/remediation-acces-microsoft365?hsLang=fr) [Exclure un site SharePoint de Copilot : les 3 méthodes en 2026](https://blog.idecsi.com/fr/exclure-site-sharepoint-copilot-3-methodes?hsLang=fr) Livre blanc - Prévenir les fuites de données [![Accéder au guide](https://no-cache.hubspot.com/cta/default/4272098/interactive-209999378972.png)](https://blog.idecsi.com/hs/cta/wi/redirect?encryptedPayload=AVxigLL06H3qj%2B1Q0KDt4RR1DGSl15RXPwDbDuPLVWtoOA%2BKqc0RqljhTwaqqLqPYD3tPK32u2Xm4JnjOJr15H5N%2FqPNIoye8FEFRbRWD%2FD1UnRZSqsFIeAJfjfUeI4UAu2f7r%2B9zIqIPLTqqaRkc%2FsXMoEax26RfU4K7%2FnnKw5PMXIik9FCrgyjyy9usOa1lqyIDAW7mCauTLzSRJg006m5v%2FWDG29y9yoraXOQJQ%3D%3D&webInteractiveContentId=209999378972&portalId=4272098&hsLang=fr) Partager l'article Abonnez-vous à la newsletter pour recevoir nos contenus chaque mois. Nos articles Ces articles peuvent vous intéresser ![Identifier données sensibles avec MyDataClassification](https://4272098.fs1.hubspotusercontent-na1.net/hubfs/4272098/classifier-donnees-sensibles-microsoft-365-implication-metiers%20%281%29.png) Microsoft 365 Identifier et classifier les données sensibles dans Microsoft 365 : pourquoi les métiers doivent s'impliquer [Lire l'article](https://blog.idecsi.com/fr/classer-donnees-sensibles-implication-metiers?hsLang=fr) ![accélérer la remédiation des accès avec DETOX M365](https://4272098.fs1.hubspotusercontent-na1.net/hubfs/4272098/remediation-droits-acces-microsoft-365-detox-accelere-correction%20%281%29.svg) Microsoft 365 Sécurité / IT Remédiation des droits d'accès Microsoft 365 : comment DETOX accélère la correction [Lire l'article](https://blog.idecsi.com/fr/remediation-acces-microsoft365?hsLang=fr) ![3 méthodes pour exclure un site Sharepoint de Copilot](https://4272098.fs1.hubspotusercontent-na1.net/hubfs/4272098/exclure-site-sharepoint-copilot-3-methodes-2026.png) Microsoft 365 Sécurité / IT Exclure un site SharePoint de Copilot : les 3 méthodes en 2026 [Lire l'article](https://blog.idecsi.com/fr/exclure-site-sharepoint-copilot-3-methodes?hsLang=fr) ### Protection des données, discutons de votre projet ?   [![Contactez-nous](https://no-cache.hubspot.com/cta/default/4272098/b72668e9-d68b-4f46-a1e0-db4a58acc90e.png)](https://cta-redirect.hubspot.com/cta/redirect/4272098/b72668e9-d68b-4f46-a1e0-db4a58acc90e) ![video background](https://idecsi2a-dev-idecsi.pf27.wpserveur.net/wp-content/uploads/2022/02/video-background-idecsi-responsive-1.png) [![Logo-Idecsi-White-Ss-ES](https://blog.idecsi.com/hubfs/LOGOS%20IDECSI/NEW%20LOGOS/Logo-Idecsi-White-Ss-ES.svg)](https://www.idecsi.com/fr/) +33 1 84 79 38 30 - - - - [Pourquoi Idecsi ?](https://www.idecsi.com/fr/securite-utilisateurs) - [À propos](https://www.idecsi.com/fr/a-propos/) - [Rejoignez-nous](https://www.welcometothejungle.com/fr/companies/idecsi) - Solutions - [DETOX pour M365](https://info.idecsi.com/fr/detox-donnees-partagees-m365?hsLang=fr) - [DETOX pour le stockage M365](https://info.idecsi.com/fr/mydatamanagement-detox-m365?hsLang=fr) - [DETOX pour Copilot Microsoft 365](https://info.idecsi.com/fr/copilot-acces-donnees-m365?hsLang=fr) - [DETOX x Cybermois](https://info.idecsi.com/detox-cybermois?hsLang=fr) - [DETOX x Semaine du Numérique Responsable](https://info.idecsi.com/fr/mydatamanagement-detox-m365?hsLang=fr) - [Plateforme](https://www.idecsi.com/fr/solution) - [MyDataSecurity](https://www.idecsi.com/fr/solution/mydatasecurity/) - [Advanced Monitoring](https://www.idecsi.com/fr/solution/advanced-monitoring/) - [MyDataManagement](https://www.idecsi.com/fr/solution/mydatamanagement/) - [Permission Explorer](https://www.idecsi.com/fr/solution/permission-explorer/) - Ressources - [Centre de ressources](https://blog.idecsi.com/fr/ressources?hsLang=fr) - [Blog](https://blog.idecsi.com/fr) - [Témoignages Clients](https://blog.idecsi.com/fr/ressources-clients?hsLang=fr) - [Extranet](https://help.idecsi.com/) © IDECSI - [Confidentialité](https://www.idecsi.com/fr/confidentialite) - [Mentions légales](http://www.idecsi.com/mentions-legales) ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "Mona Piquet", "url" : "https://blog.idecsi.com/fr/author/mona-piquet" }, "dateModified" : "2026-11-12T15:01:12.813Z", "datePublished" : "2026-11-12T15:01:12.000Z", "headline" : "Compromission de compte : ce que les récentes cyberattaques récentes nous apprennent", "image" : [ "https://blog.idecsi.com/hubfs/compromission-de-compte-cyberattaques-recentes-dsi-3d.png" ], "mainEntityOfPage" : { "@id" : "https://blog.idecsi.com/fr/compromission-compte-cyberattaques", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://blog.idecsi.com/hubfs/Logo-Idecsi-Black-tagline.png" }, "name" : "IDECSI" } } ``` ```json { "@context" : "https://schema.org", "@type" : "FAQPage", "mainEntity" : [ { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "C'est l'utilisation d'un compte professionnel légitime par une personne non autorisée. L'attaquant hérite des droits du titulaire sur la messagerie, les fichiers et les applications. Il n'a donc besoin d'aucune faille technique pour accéder aux données." }, "name" : "Qu'est-ce qu'une compromission de compte en entreprise ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Les signes les plus fréquents sont une règle de boîte mail inconnue, un transfert vers une adresse externe, une nouvelle méthode d'authentification ou des téléchargements massifs sur OneDrive ou SharePoint. Des connexions à des horaires ou depuis des lieux inhabituels doivent aussi alerter. Pris isolément, aucun de ces signes n'est une preuve : c'est leur combinaison qui justifie une investigation." }, "name" : "Quels sont les signes qu'un compte Microsoft 365 a été compromis ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Il faut surveiller ce que fait le compte après la connexion, pas seulement la connexion. Les écarts par rapport aux usages habituels sont les plus révélateurs : volume d'accès, données sensibles consultées, droits ajoutés, partages créés. La corrélation de ces signaux permet de transformer des indices faibles en alerte exploitable. La solution IDECSI agit comme un système d'alerte." }, "name" : "Comment détecter un accès non autorisé si l'attaquant utilise des identifiants valides ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Non. Des campagnes documentées par Microsoft en 2026 obtiennent l'approbation MFA de la victime en se faisant passer pour le support informatique, ou capturent les jetons de session. Une MFA résistante au phishing, comme les clés FIDO2, réduit fortement ce risque, mais la surveillance des accès reste nécessaire." }, "name" : "La MFA suffit-elle à empêcher la compromission d'un compte ?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Bloquer le compte, révoquer ses sessions et jetons actifs, puis réinitialiser le mot de passe. Supprimer ensuite les méthodes MFA, règles de transfert et délégations ajoutées par l'attaquant. Le CERT-FR détaille ces étapes dans sa fiche réflexe sur la compromission d'un compte de messagerie." }, "name" : "Que faire dans la première heure après la découverte d'un compte compromis ?" } ] } ```