Quand le pirate active la double authentification à votre place : récit d’un piratage de boîte mail en PME

TL;DR – L’essentiel en 30 secondes

• Un mardi à 18h50, un dirigeant de PME perd l’accès à sa boîte Gmail : un pirate a changé le mot de passe et activé lui-même la double authentification (MFA).
• La protection censée défendre le compte s’est retournée contre son propriétaire : réinitialisation du mot de passe et assistance du fournisseur n’ont rien donné.
• Bilan : dix ans de mails et de contacts hors d’atteinte, et un risque réel de messages piégés envoyés aux clients, en son nom.
• À retenir : votre adresse mail est la clé de tous vos autres comptes. Il faut la verrouiller avant l’incident, pas après.
• Kaizit aide les PME à sécuriser leurs accès, sauvegarder leurs données et séparer messagerie personnelle et professionnelle : rendez-vous en fin d’article.

Mardi, 18h50. Le téléphone sonne : un dirigeant de PME, très inquiet, annonce qu’il n’a plus accès à ses mails. Toute son activité repose sur une adresse Gmail gratuite, utilisée depuis dix ans. Son histoire est un cas d’école, et elle peut arriver à n’importe quel chef d’entreprise.

Un diagnostic rapide : simple oubli ou attaque en cours ?

Face à un appel de ce type, la première question est toujours la même : y a-t-il urgence ? Un mot de passe oublié se règle en cinq minutes. Une prise de contrôle par un tiers, non. Nous proposons donc au dirigeant un diagnostic rapide, pour trancher avant d’agir.

Le verdict tombe vite. Un pirate a pris le contrôle de la boîte mail. Il a d’abord changé le mot de passe. Puis il a activé la double authentification, souvent abrégée MFA (pour multi-factor authentication). Le principe est simple : pour se connecter, le mot de passe ne suffit plus, il faut aussi un second élément, par exemple un code reçu sur un téléphone. C’est l’une des meilleures protections qui existent. Mais ici, c’est le pirate qui détient ce second élément. Le verrou est bien posé, sauf qu’il est posé contre son propriétaire.

Comment le pirate est-il entré ? À ce stade, nous ne le savons pas, et nous préférons ne pas l’inventer. Deux pistes sont très fréquentes. Un faux message d’alerte, qui pousse à saisir son mot de passe sur une page piégée (c’est l’hameçonnage, ou « phishing »). Ou un mot de passe déjà utilisé sur un autre site, victime lui-même d’une fuite de données. Dans les deux cas, un seul mot de passe a suffi à ouvrir la porte.

Mot de passe, assistance : deux portes, deux échecs

Quand un compte est piraté, deux voies de secours s’offrent d’abord à la victime. Nous les avons explorées l’une après l’autre.

Première porte : réinitialiser le mot de passe. C’est le geste logique, et il a échoué. Pire, la double authentification installée par le pirate le prévient dès qu’une tentative est lancée. Autrement dit, chaque essai de la victime alerte son agresseur, qui garde toujours un temps d’avance.

Deuxième porte : contacter l’assistance du fournisseur. Gmail est un service gratuit, et pour ce type de problème l’assistance de Google est automatisée : pas de numéro à appeler, pas d’interlocuteur humain à convaincre. Google propose bien un formulaire de récupération de compte, mais il s’appuie sur les repères du vrai propriétaire, comme le téléphone ou l’adresse de secours. Or ce sont précisément des repères qu’un pirate peut modifier en premier.

Nous avons donc dû constater que, dans ce cas précis, la reprise de contrôle n’était pas possible. C’est le moment le plus difficile d’un tel diagnostic : annoncer à un dirigeant que dix ans de messages ne reviendront sans doute jamais. La leçon est nette : une récupération de compte se prépare avant l’incident, car après, il est très tard.

Dix ans d’historique et de contacts hors d’atteinte

Perdre sa messagerie, c’est perdre bien plus que des messages. Trois pertes se cumulent.

• L’historique. Dix ans d’échanges avec les clients et les fournisseurs : devis, factures, pièces jointes, décisions prises par écrit. Pour une PME, c’est une partie de la mémoire de l’entreprise.
• Le carnet d’adresses. Il était dans le même compte, donc il disparaît avec lui. Le dirigeant ne peut plus consulter la liste de ses contacts. Il ne sait pas qui prévenir, sauf ceux dont il se souvient par cœur.
• La clé des autres comptes. Votre adresse mail sert à recevoir les liens de réinitialisation de mot de passe de presque tous vos services : sites en ligne, boutiques, logiciels, réseaux sociaux. Celui qui contrôle la boîte peut demander ces réinitialisations et intercepter les messages de confirmation. Perdre la boîte, c’est donc risquer de perdre tout le reste.

Et pendant que la victime se débat, le pirate, lui, lit. Il peut parcourir les messages, repérer les clients importants, les factures en attente, les fournisseurs auxquels on fait confiance, puis choisir tranquillement le moment de frapper. Chaque heure perdue joue en sa faveur.

Le vrai danger : le pirate écrit désormais en votre nom

C’est la conséquence la plus sournoise. Le pirate a sous la main des années d’échanges réels : des noms, des projets en cours, des montants, des habitudes de paiement. Il peut écrire à vos clients et à vos fournisseurs avec un message qui reprend un vrai sujet, signé de votre nom, envoyé depuis votre vraie adresse. Un changement de coordonnées bancaires « de dernière minute », une facture à régler en urgence, un document à ouvrir : tout paraît authentique, parce que tout s’appuie sur du réel.

Imaginez l’état d’esprit d’un client qui vient de régler une fausse facture, ou d’ouvrir un fichier piégé, en croyant répondre à son interlocuteur habituel. L’énervement, la perte de confiance, parfois un litige. Le dommage dépasse largement la technique : il touche l’image de l’entreprise, et le dirigeant n’a aucun moyen simple de prévenir les destinataires, puisque son carnet d’adresses se trouve justement dans la boîte piratée.

S’y ajoute un risque financier plus direct. Beaucoup de sites marchands et de services en ligne conservent une carte bancaire enregistrée, accessible à qui sait se connecter.

Reprendre la main sur ce qui peut l’être

Quand la boîte est perdue, la priorité change : il faut limiter la casse et reconstruire un socle propre. L’ordre compte, parce que le temps joue contre la victime : plus l’ancienne adresse reste référencée quelque part, plus le pirate a de portes à essayer. Voici les actions menées, dans l’ordre.

1. Changer l’adresse de connexion sur tous les sites concernés. Chaque service qui référençait l’adresse piratée (pour la connexion, les notifications ou la facturation) doit pointer vers une nouvelle adresse sûre.
2. Changer les mots de passe, en commençant par ceux qui servaient sur plusieurs sites à la fois, puisqu’un pirate essaiera le même sur les autres services.
3. Activer la double authentification dès que possible, service après service.
4. Surveiller les comptes où une carte bancaire est enregistrée, pour repérer tout achat ou prélèvement inhabituel.
5. Prévenir les contacts dont le dirigeant se souvient, par téléphone ou par un autre canal que le mail, pour qu’ils se méfient de tout message reçu de l’ancienne adresse.

Nous sommes ensuite intervenus à distance, en prise de main partagée, pour paramétrer avec le dirigeant une nouvelle messagerie et un espace de stockage en ligne, le tout protégé dès le départ par la double authentification. L’entreprise a ainsi retrouvé un socle de travail sain.

Ce qui aurait changé la donne

Ce piratage n’a rien d’une fatalité. Quatre mesures simples auraient évité ou fortement limité les dégâts.

• Activer soi-même la double authentification. Ici, le verrou a été posé par le pirate plutôt que par son propriétaire. Avec un second facteur déjà actif, un mot de passe volé ne suffit plus à entrer.
• Un mot de passe unique et long par service, rangé dans un coffre-fort numérique. Un coffre-fort numérique (ou gestionnaire de mots de passe mais pas celui de votre navigateur !) retient tout à votre place : vous n’avez plus qu’un seul mot de passe principal à mémoriser. Si un site est piraté, un seul compte tombe, pas tous les autres.
• Une sauvegarde régulière des données. Mails, contacts, fichiers : une copie conservée en dehors du compte aurait transformé la perte de dix ans d’historique en simple désagrément.
• Une messagerie professionnelle séparée, sur un nom de domaine à soi. Une adresse gratuite grand public n’est pas conçue pour porter l’activité d’une entreprise. Une messagerie professionnelle, chez un hébergeur ou un éditeur qui propose un interlocuteur humain et des options de sauvegarde, offre un contrôle que le gratuit ne garantit pas.

Aucune de ces quatre mesures n’exige de compétence technique. Leur coût est modeste, quelques heures de paramétrage et, pour la messagerie professionnelle comme pour le coffre-fort, un abonnement raisonnable. À mettre en regard de ce qui était en jeu ici : dix ans d’historique, la confiance des clients, et des journées entières passées à réparer. Ces mesures demandent surtout de s’y mettre avant d’en avoir besoin.

Et chez vous ? Cinq vérifications à faire cette semaine

Vous dirigez une PME ? Posez-vous ces cinq questions, tranquillement, cette semaine.

1. Mon adresse mail principale est-elle protégée par une double authentification ? Sinon, c’est la première chose à activer.
2. Mon adresse de secours et mon numéro de téléphone de récupération sont-ils à jour ? Ce sont eux qui vous ouvriront la porte le jour où vous en aurez besoin.
3. Est-ce que j’utilise le même mot de passe sur plusieurs services ? Si oui, la liste de vos comptes à changer est déjà longue.
4. Que se passe-t-il si je perds ma boîte mail demain ? Si la réponse est « je perds tout », il manque une sauvegarde.
5. Mon activité repose-t-elle sur une adresse gratuite et personnelle ? Si oui, la séparation entre vie privée et vie professionnelle est à prévoir.

Et si l’incident vous arrive : prévenez vos contacts par un autre canal sans attendre, changez les mots de passe de vos autres services depuis un appareil sûr, surveillez vos moyens de paiement, et tentez les procédures de récupération officielles sans cesser de les relancer. Le plus tôt est toujours le mieux. Et n’attendez pas d’être sûr : un message troublant ou une connexion inhabituelle justifie déjà d’agir, quitte à vous être trompé. Perdre dix minutes pour rien vaut mieux que perdre dix ans d’historique.

Dans cette histoire, la technologie de protection a bien fonctionné, mais au profit de la mauvaise personne. Ce qui a manqué n’est pas un outil sophistiqué : c’est un réglage de base, fait trop tard. Un dirigeant de PME n’a pas à devenir expert en cybersécurité, mais il doit savoir que sa messagerie est la porte d’entrée de toute son entreprise, et qu’elle mérite au moins la même attention que la porte du bureau, fermée à clé chaque soir. Après l’incident, nous avons adressé au dirigeant nos préconisations à court terme : généraliser la double authentification, mettre en place une sauvegarde des données et un coffre-fort numérique.

Vous voulez savoir où vous en êtes ?

Prenez rendez-vous : nous faisons ensemble le point sur vos accès, vos sauvegardes et votre messagerie.