Microsoft 365 est devenu le cœur de nombreuses TPE et PME : messagerie, agendas, fichiers, Teams. C'est aussi la première cible des pirates, parce qu'un seul compte ouvert donne accès aux échanges avec les clients, les fournisseurs et la banque. Quand nous auditons le Microsoft 365 d'une entreprise des Alpes-Maritimes, nous retrouvons presque toujours les mêmes oublis. Voici lesquels, pourquoi ils sont dangereux et comment ils apparaissent.
Pourquoi Microsoft 365 dérive avec le temps
Le plus souvent, Microsoft 365 a été mis en place une fois, lors d'une migration de messagerie ou d'un changement de prestataire. Ensuite, les salariés arrivent et partent, des boîtes partagées sont créées, des applications sont branchées, des droits sont accordés pour dépanner. Le centre d'administration n'est presque jamais relu dans son ensemble.
Ce n'est pas un détail : selon le rapport 2025 de Cybermalveillance.gouv.fr, le piratage de comptes en ligne est la première menace touchant les professionnels. Chaque compte oublié ou mal protégé est une porte supplémentaire.
Des comptes que plus personne n'utilise
C'est le constat le plus fréquent. Le compte d'une assistante partie il y a deux ans est toujours actif, avec un mot de passe que son remplaçant connaît. Le compte d'un stagiaire n'a jamais été bloqué. Une adresse générique comme contact ou compta se connecte avec un mot de passe partagé par toute l'équipe, sans double authentification.
Ces comptes ne sont surveillés par personne. Si un pirate y entre, rien ne bouge : aucun salarié ne remarquera des connexions inhabituelles sur une boîte qu'il ne regarde jamais. La CNIL recommande d'ailleurs de supprimer les accès dès la fin d'un contrat et de revoir les habilitations au moins une fois par an.
- Compte d'ancien salarié : bloquer la connexion le jour du départ, puis le convertir en boîte partagée si l'on doit garder ses mails.
- Adresse générique : la transformer en boîte partagée, ouverte avec le compte personnel de chacun, plutôt qu'avec un mot de passe commun.
- Comptes de test ou de prestataire : les supprimer une fois le travail terminé.
Des transferts de mails que personne n'a vus
Un transfert automatique envoie une copie de tous les mails, ou de certains, vers une adresse extérieure. Il peut être posé par l'utilisateur lui-même, par un administrateur, ou par un pirate qui a obtenu le mot de passe. Microsoft le rappelle dans sa documentation : ces règles peuvent être créées « délibérément ou à la suite d'un compte compromis ».
Dans le second cas, le pirate n'a même plus besoin de se reconnecter : il reçoit en temps réel les échanges avec vos clients et vos fournisseurs, attend une facture, puis envoie la même avec un autre RIB. Nous trouvons aussi des règles qui déplacent automatiquement certains messages vers un dossier que personne n'ouvre, pour cacher les réponses gênantes.
Un audit liste toutes les règles de transfert et de déplacement des boîtes, vérifie à qui elles envoient, et contrôle le réglage général qui autorise ou non les transferts vers l'extérieur.
Des applications connectées avec des droits étendus
Agenda en ligne, outil de signature, assistant d'écriture, application de messagerie sur téléphone : beaucoup de services demandent l'autorisation de « lire vos mails » ou « accéder à vos fichiers ». Selon les réglages du compte Microsoft 365, un salarié peut accepter seul, sans que personne ne soit informé.
Le risque est réel : Microsoft explique qu'une application malveillante qui a obtenu ce consentement accède aux données sans avoir besoin du mot de passe, et que réinitialiser le mot de passe ou exiger la double authentification ne suffit pas à la couper. Il faut retirer l'autorisation elle-même.
Lors de l'audit, nous relevons les applications autorisées, les droits qu'elles possèdent et la date de leur dernière utilisation. Il est fréquent d'en trouver dont personne ne se souvient.
Trop d'administrateurs, et pas toujours protégés
Dans beaucoup de PME, le dirigeant, son associé, un ancien prestataire et parfois un salarié sont « administrateurs généraux » : ils peuvent tout lire, tout modifier, tout supprimer. Microsoft recommande d'attribuer ce rôle à moins de cinq personnes, toutes protégées par la double authentification.
Autre constat courant : l'administrateur utilise le même compte pour lire ses mails et pour gérer l'entreprise. Un simple faux mail ouvert sur ce compte met alors tout le système en danger. Il vaut mieux un compte d'administration séparé, utilisé uniquement pour l'administration, et des comptes de secours prévus à l'avance pour ne jamais se retrouver bloqué hors de son propre système. Microsoft en conseille au moins deux.
Enfin, l'accès conditionnel (des règles qui décident qui peut se connecter, depuis où et avec quelle vérification) est souvent absent ou laissé en mode d'essai.
Licences et domaines : les oublis qui coûtent
- Licences inutilisées : licences encore attribuées à des comptes d'anciens salariés, abonnements en double après un changement de fournisseur, offres plus riches que nécessaire. L'audit les recense ; à vous de décider ce que vous conservez.
- SPF, DKIM et DMARC : trois réglages publiés sur votre nom de domaine, qui permettent aux destinataires de vérifier qu'un mail à votre nom vient bien de vos serveurs. Absents ou incomplets, ils facilitent l'usurpation de votre adresse et envoient parfois vos vrais mails en indésirables.
- Domaines oubliés : anciens noms de domaine toujours déclarés, parfois sans aucune protection contre l'usurpation.
L'audit Microsoft 365 par LAN & WAN
Nous réalisons l'audit en lecture seule, avec un compte dédié créé pour l'occasion et supprimé ensuite. Rien n'est modifié sans votre accord. Vous recevez une synthèse des constats classés par priorité et un plan d'action, que vous pouvez confier à votre équipe, à votre prestataire actuel ou à nous.
Si vous souhaitez ensuite être accompagné, notre offre Shield 365 assure la protection et la supervision de Microsoft 365 dans la durée. Basés à Carros depuis 2010, nous intervenons à Nice, Cannes, Antibes, Sophia Antipolis, Monaco et dans tout le 06. Le premier échange est offert : appelez-nous au 04 93 20 39 86, du lundi au vendredi, de 9h à 12h et de 14h à 18h.
Sources
- Contrôler le transfert automatique d'e-mails externes (Microsoft Learn) (18 août 2026)
- Détecter et corriger les octrois de consentement illicites (Microsoft Learn) (3 juillet 2026)
- Meilleures pratiques pour les rôles Microsoft Entra (Microsoft Learn) (1 juin 2026)
- Gérer des comptes administrateur d'accès en cas d'urgence (Microsoft Learn) (4 juin 2026)
- CNIL, guide de la sécurité des données personnelles : gérer les habilitations (13 mars 2024)