Microsoft 365 : les réglages de sécurité à vérifier dans votre entreprise

Le piratage de compte est la première menace signalée par les entreprises et les associations auprès de Cybermalveillance.gouv.fr. La messagerie professionnelle en est la porte d'entrée la plus fréquente, et Microsoft 365 est de loin la messagerie la plus répandue dans les PME françaises.

Microsoft fournit une plateforme solide. Il fournit aussi une configuration de départ pensée pour que tout fonctionne immédiatement, ce qui n'est pas la même chose qu'une configuration sûre.

1. L'authentification multifacteur, sans exception

C'est la mesure qui change le plus de choses pour le moins d'effort. Un mot de passe volé ne suffit plus à entrer.

• Activez-la sur tous les comptes, y compris ceux de la direction : ce sont les plus visés, jamais les moins.
• Ne laissez pas d'exception permanente. Une exception « le temps de la migration » devient une exception définitive.
• Préférez une application d'authentification au SMS, plus exposé au détournement de numéro.

2. Séparer les comptes administrateurs

Un administrateur qui lit ses courriels avec son compte à privilèges expose l'ensemble du tenant à une seule pièce jointe malveillante.

• Un compte de travail nominatif pour le quotidien, un compte d'administration distinct pour les opérations.
• Le compte d'administration ne reçoit pas de courrier et ne sert pas à naviguer.
• Limitez le nombre d'administrateurs globaux : c'est le rôle le plus puissant et le plus rarement nécessaire.

3. Couper les protocoles d'authentification anciens

Certains protocoles historiques ne savent pas gérer l'authentification multifacteur. Tant qu'ils restent actifs, ils offrent un chemin qui la contourne entièrement. C'est ce chemin qui est testé en premier lors des attaques automatisées.

Avant de les désactiver, vérifiez qu'aucun copieur multifonction, aucun logiciel métier et aucune application mobile ancienne ne s'en sert pour envoyer du courrier. C'est la seule précaution à prendre, mais elle est indispensable.

4. Surveiller les règles de transfert automatique

Après une compromission, l'attaquant crée souvent une règle qui transfère discrètement une copie des messages vers une adresse externe, puis les efface du dossier. La victime ne voit rien pendant des mois.

Faites la liste des règles de transfert existantes, bloquez la création de nouvelles règles vers l'extérieur, et mettez en place une alerte lorsqu'une tentative se produit. C'est aussi le meilleur détecteur de fraude au virement dont vous disposerez.

5. La sauvegarde : ce que Microsoft ne fait pas

Microsoft garantit la disponibilité de la plateforme et la réplication de l'infrastructure. Il ne garantit pas de vous rendre un dossier supprimé il y a huit mois, ni de restaurer une boîte vidée par un rançongiciel.

Les corbeilles et rétentions natives couvrent des durées limitées et se configurent. Au-delà, il faut une sauvegarde externe, testée par une restauration réelle au moins une fois par an.