Quelqu’un a lu vos courriels, modifié votre adresse de récupération ou créé une règle qui transfère discrètement vos messages vers une adresse extérieure. Le réflexe naturel est de verrouiller le compte et de passer à autre chose. C’est compréhensible, et la sécurisation du compte est indispensable. Mais les minutes pendant lesquelles vous reprenez le contrôle sont souvent celles où les traces de l’intrusion sont écrasées, supprimées ou simplement laissées à l’expiration.
Ce guide porte sur ce moment précis : ce qu’il faut faire dans les premières heures après avoir découvert un accès frauduleux à un compte de messagerie, comment sécuriser le compte sans détruire ce qui pourrait servir plus tard à prouver les faits, et ce que les journaux de connexion peuvent ou ne peuvent pas démontrer. Il ne décrit pas en détail nos services de certification, présentés sur les pages dédiées indiquées à la fin.
Sommaire
- Les signes que quelqu’un d’autre utilise votre compte
- Sécuriser le compte sans effacer les traces
- Ce qu’il faut conserver
- Pourquoi le temps compte : les journaux ne durent pas
- Ce que les journaux de connexion peuvent et ne peuvent pas montrer
- Un exemple concret
- Acquisition forensique, conseil juridique et plainte
- Comment demander le service
Les signes que quelqu’un d’autre utilise votre compte
Un accès frauduleux à un compte de messagerie s’annonce rarement. Il se remarque le plus souvent à travers de petites anomalies, par exemple :
- des notifications de sécurité du fournisseur concernant une nouvelle connexion, un nouvel appareil ou un changement de mot de passe que vous n’avez pas effectué ;
- des messages marqués comme lus que vous n’avez jamais ouverts, ou des messages envoyés que vous n’avez pas écrits ;
- des contacts qui reçoivent de votre adresse des demandes inhabituelles, comme des instructions de paiement ou des liens ;
- de nouvelles adresses de transfert, des filtres qui déplacent ou suppriment des messages, des informations de récupération modifiées ;
- des applications tierces ou des mots de passe d’application que vous ne reconnaissez pas dans les paramètres de sécurité ;
- une déconnexion soudaine ou un mot de passe qui ne fonctionne plus.
Aucun de ces signes ne prouve à lui seul une intrusion. Certains ont des explications anodines, comme un appareil oublié ou un collègue disposant d’un accès délégué. Ce sont des raisons d’examiner la situation de plus près, en veillant à ne pas altérer les informations.
Sécuriser le compte sans effacer les traces
Dans les premières heures, deux objectifs entrent en concurrence : stopper l’intrusion et en conserver la preuve. Aucun des deux ne peut être simplement reporté.
Si l’intrus cause activement un préjudice (envoi de courriels frauduleux, modification des informations de récupération, suppression de messages ou blocage de votre accès), la protection du compte et des personnes qui vous écrivent passe avant tout. Un dommage en cours n’est pas un prix acceptable pour obtenir des preuves plus nettes.
S’il n’y a aucun signe d’activité en cours, quelques minutes consacrées à documenter avant de modifier quoi que ce soit en valent généralement la peine, et contacter immédiatement un prestataire forensique permet de planifier l’acquisition en même temps que les mesures de sécurité, et non après.
En pratique, une séquence prudente ressemble souvent à ceci :
- Regarder avant de modifier. Ouvrez les pages de sécurité du compte (activité récente, appareils connectés, transferts, filtres, applications connectées) et faites des captures d’écran ou des enregistrements, en notant l’heure. Ce n’est pas une acquisition forensique, mais cela fixe ce que vous avez vu.
- Conserver les notifications du fournisseur. Ne supprimez pas les courriels ou SMS d’alerte concernant de nouvelles connexions ou des changements de mot de passe : ils figurent souvent parmi les informations les plus utiles.
- Sécuriser le compte de manière réfléchie. Changez le mot de passe depuis un appareil de confiance, activez la validation en deux étapes et vérifiez les options de récupération. Sachez que certaines actions, comme la déconnexion de toutes les sessions ou la suppression d’un appareil, peuvent modifier ce que les pages de sécurité afficheront ensuite.
- Supprimer les règles malveillantes après les avoir documentées. Une règle de transfert ou un filtre qui supprime des messages doit être arrêté, mais il faut d’abord l’enregistrer, y compris l’adresse de destination et les conditions appliquées.
- Ne pas supprimer le compte ni effacer les messages en masse. Fermer le compte peut rendre son historique d’activité indisponible, et les messages supprimés peuvent être précisément ceux qui montrent ce qu’a fait l’intrus.
Si le compte appartient à un domaine d’entreprise, les pages de sécurité visibles par l’utilisateur ne sont qu’une partie du tableau. Les administrateurs des services de messagerie professionnels peuvent généralement consulter des journaux d’audit et de connexion supplémentaires, selon leur configuration et leur licence. L’administrateur informatique doit être associé tôt et invité à ne rien purger ni réinitialiser avant la conservation des journaux.
Si vous soupçonnez que l’intrusion est partie d’un ordinateur ou d’un téléphone compromis, évitez de réinstaller ou de réinitialiser cet appareil avant d’avoir pris conseil : l’appareil lui-même peut contenir des informations que les journaux du compte n’ont pas.
Ce qu’il faut conserver
L’objectif est de garder suffisamment d’éléments pour reconstituer ce qui s’est passé, quand et d’où. La disponibilité de chaque élément dépend du fournisseur et du type de compte.
Activité du compte
- L’activité récente de connexion et de sécurité, avec les dates, les heures et le fuseau horaire indiqué.
- Les adresses IP, les localisations approximatives et les informations sur l’appareil ou le navigateur affichées par le fournisseur.
- Les listes des appareils connectés et des sessions actives.
Modifications de configuration
- Les adresses de transfert, les filtres et les règles automatiques, y compris ceux qui suppriment ou archivent des messages.
- Les modifications de l’adresse de récupération, du numéro de téléphone de récupération ou de la validation en deux étapes.
- Les accès délégués, les applications tierces connectées et les mots de passe d’application.
Messages et notifications
- Les alertes de sécurité du fournisseur concernant les connexions, les appareils ou les changements de mot de passe.
- Les messages envoyés, lus, déplacés ou supprimés par l’intrus, dans la mesure où ils peuvent être identifiés.
- Les en-têtes complets des courriels pertinents, qui contiennent des informations d’acheminement invisibles dans l’affichage normal.
Éléments extérieurs au compte
- Les messages des contacts ayant reçu des courriels suspects de votre adresse.
- Les relevés bancaires ou de paiement si l’intrusion a conduit à un virement frauduleux.
- Vos propres notes : quand vous avez remarqué le problème, ce que vous avez vu et ce que vous avez modifié, dans l’ordre.
Lorsque le fournisseur propose une exportation officielle des données, celle-ci peut compléter l’acquisition des pages de sécurité. Pour les comptes des deux principales plateformes, nous proposons également la certification Google Takeout et la certification d’exportation de compte Microsoft.
Pourquoi le temps compte : les journaux ne durent pas
Les fournisseurs de messagerie ne conservent pas indéfiniment l’historique d’activité présenté aux utilisateurs. Selon le fournisseur, le type de compte et la page concernée, la fenêtre visible peut aller de quelques semaines à plusieurs mois, et certaines vues n’affichent que les sessions les plus récentes. Les services professionnels peuvent conserver des journaux d’audit plus longs, mais seulement s’ils sont activés et dans les limites de l’abonnement.
Il en découle deux conséquences. D’abord, attendre a un coût : une intrusion découverte tardivement peut déjà se trouver en partie hors de la fenêtre visible. Ensuite, les informations visibles aujourd’hui peuvent ne plus l’être la semaine prochaine, même si personne ne touche au compte. C’est pourquoi la conservation des journaux devrait commencer dès la découverte de l’intrusion, idéalement avant la rédaction de la plainte.
Ce que les journaux de connexion peuvent et ne peuvent pas montrer
Une adresse IP dans un journal d’activité est un indice précieux, mais souvent surinterprété. Une acquisition forensique rend les journaux vérifiables ; elle ne change pas ce qu’ils sont capables de prouver.
| Question | Apport des journaux conservés |
|---|---|
| Le compte a-t-il été utilisé depuis une connexion inconnue ? | Les journaux peuvent montrer des connexions depuis des adresses IP, des appareils ou des lieux différents des habitudes de l’utilisateur. |
| Quand cela s’est-il produit et qu’est-ce qui a changé ? | Les horodatages, les pages de configuration et les notifications peuvent étayer une chronologie des connexions et des modifications, comme de nouvelles règles ou de nouvelles informations de récupération. |
| D’où venait la connexion ? | La géolocalisation d’une adresse IP est approximative. Elle indique généralement l’opérateur réseau ou une zone générale, pas une adresse précise, et peut refléter un VPN, un proxy ou un service d’hébergement. |
| Qui se trouvait derrière la connexion ? | Une adresse IP n’est pas une personne. La rattacher à un abonné suppose en principe des données détenues par l’opérateur réseau, obtenues par l’intermédiaire des autorités compétentes. Même alors, une connexion partagée ou publique peut ne pas identifier un individu. |
| L’accès était-il illicite ? | C’est une question juridique. Elle dépend par exemple du fait que la personne disposait ou avait disposé d’une autorisation, et relève de l’avocat puis, en dernier ressort, de l’autorité compétente. |
| Les éléments conservés ont-ils changé depuis l’acquisition ? | Les empreintes SHA-256 et un horodatage électronique qualifié permettent de vérifier l’intégrité des fichiers acquis et le moment où ils ont été scellés. |
Le travail technique répond donc à des questions d’existence, de temps et d’intégrité. L’attribution et la qualification juridique sont des étapes distinctes qui s’appuient sur lui.
Un exemple concret
Le scénario suivant est hypothétique et simplifié.
Un petit bureau d’études apprend par un client qu’une facture reçue par courriel comportait de nouvelles coordonnées bancaires. Le bureau n’a jamais envoyé cette version. L’administrateur vérifie la boîte du gérant et découvre une règle, créée quelques semaines plus tôt, qui transfère vers une adresse extérieure tout message contenant le mot « facture » puis le supprime de la boîte de réception. La page d’activité récente montre des connexions depuis un réseau situé dans un autre pays.
1. Stopper le dommage en cours
La règle étant toujours active et les clients risquant de payer sur le mauvais compte, le bureau prévient immédiatement ses clients par un autre canal, en leur demandant de confirmer les coordonnées bancaires par téléphone.
2. Enregistrer ce qui est visible
Avant de toucher à quoi que ce soit, l’administrateur réalise des captures d’écran de la règle, de ses conditions et de sa destination, ainsi que de la page d’activité, en notant l’heure. Les courriels de notification du fournisseur sont conservés.
3. Faire appel à un prestataire forensique
Le bureau contacte un prestataire spécialisé le jour même. L’acquisition est planifiée de manière à couvrir les pages de sécurité de la boîte, la règle, les journaux de connexion et d’audit accessibles à l’administrateur et les en-têtes des messages pertinents ; les fichiers font l’objet d’un hash SHA-256 et sont scellés par un horodatage électronique qualifié.
4. Sécuriser le compte
Une fois les éléments acquis, la règle est supprimée, le mot de passe changé, la validation en deux étapes activée et les sessions actives révoquées.
5. Analyse juridique et plainte
Un avocat examine le rapport avec les justificatifs de paiement du client et conseille sur le dépôt de plainte, l’information de la banque et les éventuelles obligations en matière de protection des données découlant de l’incident.
La certification ne révèle pas qui a créé la règle et ne garantit pas la récupération des fonds. Elle fournit en revanche une trace vérifiable de ce que contenait le compte, de sa configuration et des connexions depuis lesquelles il a été utilisé, conservée avant que les journaux n’expirent.
Acquisition forensique, conseil juridique et plainte
Trois activités distinctes interviennent, et il est utile de les séparer :
- L’acquisition forensique conserve et documente sous une forme vérifiable l’activité, la configuration et les messages du compte. C’est le travail d’un prestataire en informatique forensique comme CertifyWebContent.
- L’analyse juridique détermine si les faits constituent une infraction ou une faute civile, quel droit s’applique et quels recours existent. C’est le rôle de l’avocat. Dans l’Union européenne, la directive 2013/40/UE impose aux États membres d’ériger en infraction pénale l’accès illégal aux systèmes d’information, mais les modalités et les délais de la plainte dépendent du droit national.
- La plainte et l’enquête relèvent de la police ou de l’autorité compétente. En principe, seules les autorités peuvent obtenir des fournisseurs et des opérateurs réseau les données nécessaires pour rattacher une connexion à un abonné.
Des éléments conservés et documentés sont utiles à chaque étape : ils donnent à l’avocat une base stable pour son analyse et permettent à la plainte de se référer à des événements précis plutôt qu’à une description générale.
L’acquisition doit porter sur des comptes et des données auxquels le client a le droit d’accéder, et uniquement sur ce qui est pertinent pour l’incident. Un compte peut contenir des données personnelles de tiers, dont le traitement est soumis à la réglementation sur la protection des données, à commencer par le RGPD.
Comment demander le service
CertifyWebContent certifie les accès frauduleux aux comptes de messagerie et en ligne : activité de connexion, adresses IP et appareils, modifications de configuration et messages associés, acquis selon une procédure documentée, protégés par un hash SHA-256, scellés par un horodatage électronique qualifié et accompagnés d’un rapport technique et de notre déclaration FEDIS. Le service peut être réalisé à distance.
Vous trouverez le détail sur la page de la certification des accès frauduleux aux comptes avec IP. Pour les cas propres aux boîtes de messagerie, comme les règles de transfert, la compromission de messagerie professionnelle (BEC) ou l’hameçonnage, consultez aussi la certification de violation de compte de messagerie.
Pour recevoir un devis, indiquez-nous le fournisseur et le type de compte concerné, quand vous avez remarqué l’intrusion, si vous avez actuellement le contrôle du compte et ce que vous avez déjà modifié. Si les journaux d’activité risquent de sortir prochainement de la fenêtre visible, signalez-le-nous afin que nous puissions évaluer les délais d’intervention.
Demander un devis pour la certification d’un accès frauduleux
