Rafael Pfister

Consulting

Réponse aux incidents : lorsque l’environnement de messagerie est compromis

Une boîte aux lettres envoie soudain de l’hameçonnage, des clients reçoivent de fausses demandes de paiement, un fichier inconnu se trouve sur le serveur Exchange, ou le fabricant de la passerelle de messagerie signale une vulnérabilité exploitée. Dans de telles situations, j’apporte mon soutien pour l’endiguement, l’analyse et l’assainissement, en me concentrant sur le niveau de la messagerie et des identités.

Le conseil est assuré en allemand ou en anglais.

  • Réponse aux incidents
  • Business Email Compromise
  • Microsoft 365
  • Exchange Server
  • Passerelles de messagerie
  • Obligations d’annonce

Cas typiques

  • Boîte aux lettres compromise (BEC)Connexions inconnues, règles de boîte de réception cachées, transferts externes, jetons de session volés et fraude au paiement via des comptes authentiques.
  • Serveur Exchange attaquéVulnérabilités exploitées sur Exchange sur site : Webshells, configuration manipulée, nouveaux comptes ou autorisations, fuite de contenus de boîtes aux lettres.
  • Vulnérabilité dans la passerelle de messagerieZero-days dans des passerelles comme FortiMail ou Kiteworks : mettre en place le contournement, vérifier une éventuelle compromission, planifier la remise en service.
  • Usage abusif de votre propre domaineE-mails falsifiés au nom de votre entreprise, perte de réputation et listes de blocage : clarifier l’origine, combler les lacunes d’authentification, demander le retrait des listes.

Procédure en cas d’incident

  1. ContenirRévoquer les sessions et les jetons, réinitialiser les mots de passe et la MFA, supprimer les règles et transferts malveillants, isoler les systèmes concernés sans détruire de traces.
  2. Préserver les tracesSauvegarder le Unified Audit Log, les journaux de connexion, le Message Trace, les journaux des serveurs et des passerelles avant que les délais de conservation ne les effacent.
  3. AnalyserReconstituer le point d’entrée, la période, les comptes concernés ainsi que les messages lus, envoyés ou exfiltrés.
  4. Assainir et renforcerÉliminer la cause, nettoyer la configuration, compléter la surveillance ; rapport final pour la direction, l’assurance et les autorités.

Obligations d’annonce en Suisse

Si un incident concerne des données personnelles et entraîne vraisemblablement un risque élevé pour les personnes concernées, la loi fédérale sur la protection des données exige une annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) dans les meilleurs délais (art. 24 LPD). Depuis le 1er avril 2025, les exploitants d’infrastructures critiques doivent signaler les cyberattaques à l’Office fédéral de la cybersécurité (OFCS) dans les 24 heures. Je fournis les bases techniques de ces annonces ; l’appréciation juridique reste de votre ressort ou de celui de votre conseil juridique.

Exemples tirés de la pratique