Messagerie piratée : les signes, puis les 9 étapes pour reprendre la main

Vos contacts reçoivent des e-mails que vous n'avez jamais écrits, ou votre mot de passe est refusé : quelqu'un a peut-être pris le contrôle de votre messagerie, pour lire vos échanges, écrire en votre nom ou préparer un faux virement. Voici les signes d'alerte, les étapes dans l'ordre, les réglages de Microsoft 365 et de Gmail, et vos obligations.

01Les signes qui doivent alerter

En 2025, le piratage de compte est devenu la première menace pour les entreprises et associations : 21 % des parcours d'assistance de Cybermalveillance.gouv.fr (bilan du 6 mai 2026). Pour une boîte mail, le dispositif cite notamment (article mis à jour le 5 octobre 2026) :

• des messages envoyés que vous n'avez pas écrits, des contacts qui reçoivent de faux e-mails en votre nom ;
• des règles de filtrage ou de redirection que vous n'avez pas créées ;
• une notification de connexion depuis un appareil, un lieu ou une adresse IP inconnus ;
• un mot de passe qui ne fonctionne plus, des paramètres modifiés sans votre accord.

Selon la CNIL (août 2021), le pirate repère « dans la plupart des cas » les mots « Paiement », « Facture » ou « Banque » dans l'objet des messages, pour guetter un virement important. D'autres règles suppriment les alertes ou cachent ses traces.

Une alerte reçue par e-mail peut elle-même être un piège : ouvrez la page de sécurité de votre compte sans passer par son lien (voir nos 10 signes d'hameçonnage).

02Avant d'effacer quoi que ce soit, gardez des preuves

Cybermalveillance.gouv.fr demande des captures d'écran avant de supprimer une coordonnée inconnue ou de déconnecter une session (fiche « Piratage de compte, que faire ? », mise à jour le 22 octobre 2026). Conservez les règles et transferts suspects, les connexions inconnues (date, heure, lieu, adresse IP), les messages envoyés à votre insu et les coordonnées de récupération ajoutées par le pirate.

Faites vite : dans Microsoft 365, l'historique des connexions n'est gardé que 7 jours avec l'édition gratuite de Microsoft Entra ID, l'annuaire des comptes, et 30 jours avec les éditions P1 et P2 (Microsoft Learn).

Attention

Ne supprimez pas les messages envoyés par le pirate et ne videz pas la corbeille. Ils serviront à la plainte et à savoir qui prévenir.

03Les 9 étapes pour reprendre la main

D'après Cybermalveillance.gouv.fr, la CNIL, Microsoft et Google :

1. Changez le mot de passe depuis un appareil sain. Microsoft conseille d'abord une analyse antivirus complète (aide Microsoft) : un ordinateur infecté pourrait livrer aussi le nouveau. Choisissez un mot de passe long et unique, et ne l'envoyez jamais par e-mail : le pirate lit peut-être la boîte.
2. Déconnectez toutes les sessions. Sinon, prévient Cybermalveillance.gouv.fr, le pirate peut rester connecté malgré le nouveau mot de passe.
3. Activez la double authentification et supprimez les méthodes de vérification inconnues. Supprimez aussi les « mots de passe d'application » : Microsoft précise qu'ils ne sont pas révoqués quand le mot de passe change.
4. Supprimez les règles de transfert et les redirections que vous n'avez pas créées.
5. Vérifiez les délégations et les applications autorisées. Une délégation permet à un autre compte de lire vos messages, voire d'écrire en votre nom. Révoquez aussi les applications tierces qui ont accès au compte sans raison.
6. Vérifiez l'adresse et le numéro de récupération : ceux du pirate lui permettraient de reprendre le compte.
7. Changez les mots de passe réutilisés ailleurs, et, ajoute Google, ceux des sites où vous vous connectez avec cette adresse. Un gestionnaire de mots de passe évite la réutilisation.
8. Prévenez vos contacts. La CNIL conseille de leur dire de ne pas tenir pour valides les messages reçus et, s'ils y ont répondu, de changer de mot de passe ou de faire opposition.
9. Vérifiez factures et coordonnées bancaires. Une facture modifiée ou un « nouveau RIB » a pu partir en votre nom : relisez les envois, appelez les clients concernés, prévenez votre banque et suivez notre procédure contre les faux RIB.

À retenir

Changer le mot de passe ne suffit pas. Tant que ses sessions, règles, délégations ou applications restent en place, le pirate garde un pied dans votre boîte.

04Où trouver les réglages dans Microsoft 365 et Gmail

Microsoft 365. Après « Se déconnecter de toutes les sessions », l'utilisateur doit se reconnecter dans l'heure au plus tard (Microsoft Learn, mise à jour le 5 janvier 2026). Microsoft recommande aussi de désactiver le compte pendant l'enquête et de lister les règles masquées avec l'outil PowerShell d'Exchange Online (Microsoft Learn, mise à jour le 3 juillet 2026).

Gmail et Google Workspace. Google fait aussi vérifier la réponse automatique, l'adresse des messages sortants, l'accès IMAP ou POP et les e-mails programmés (« Sécuriser un compte Google piraté »). Sur Google Workspace, l'administrateur réinitialise le mot de passe puis les cookies de connexion (Sécurité > Cookies de connexion > Réinitialiser), ce qui ferme toutes les sessions (aide Google Workspace, mise à jour le 28 octobre 2026).

05Si vous ne pouvez plus vous connecter

• Compte professionnel : l'administrateur réinitialise le mot de passe. Un administrateur Microsoft 365 bloqué passe par un autre administrateur, par le libre-service s'il avait enregistré une autre adresse et un mobile, sinon par le support (Microsoft Learn). D'où l'intérêt de deux comptes administrateurs.
• Gmail : passez par la page de récupération de compte de Google.
• Compte Microsoft personnel (Outlook.com) : remplissez le formulaire de récupération ; Microsoft répond sous 24 heures. Si la double authentification était activée et qu'aucune méthode de vérification n'est accessible, son support ne peut pas vous aider (aide Microsoft).

06Plainte, CNIL, assurance : les obligations

Porter plainte, au commissariat, à la gendarmerie ou par courrier au procureur de la République. La plainte en ligne THESEE, qui couvre le piratage de messagerie, est réservée, sous conditions, aux particuliers majeurs : les professionnels doivent se déplacer (Ma Sécurité, mise à jour le 14 octobre 2026).

Notifier la CNIL. Une messagerie d'entreprise contient des données personnelles. Si la violation présente un risque pour les personnes, l'entreprise la notifie à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard » après en avoir pris connaissance (article 33 du RGPD). Dans le doute, la CNIL recommande de notifier, quitte à compléter ensuite (CNIL). Toute violation doit être documentée en interne ; si le risque est élevé, les personnes concernées doivent être informées.

Bon à savoir

Pour être indemnisée par une assurance cyber, l'entreprise doit avoir porté plainte au plus tard 72 heures après la connaissance de l'atteinte (article L12-10-1 du Code des assurances).

Se faire aider. 17Cyber, ouvert aux entreprises et accessible à toute heure, établit un diagnostic et oriente au besoin vers un prestataire (Cybermalveillance.gouv.fr, mise à jour le 6 novembre 2025).

En résumé

• Messages envoyés à votre insu, règles inconnues : réagissez vite, captures d'écran à l'appui.
• Nouveau mot de passe depuis un appareil sain, sessions fermées, double authentification, puis retirez règles, délégations et applications du pirate.
• Prévenez vos contacts et vérifiez qu'aucune facture ni aucun RIB n'a été modifié.
• En entreprise : plainte au commissariat ou à la gendarmerie, et notification à la CNIL sous 72 heures si possible, en cas de risque pour les personnes.

Pour protéger vos comptes et former votre équipe à repérer l'hameçonnage, découvrez nos solutions de cybersécurité. Vous pouvez aussi nous contacter du lundi au vendredi, de 9 h à 18 h.