Vous avez changé le mot de passe de votre messagerie. C’est une étape importante, mais elle ne prouve pas que tous les accès de l’intrus ont disparu. Une session encore active, une redirection ou une application autorisée peut maintenir un risque selon le fonctionnement du service. La reprise de contrôle doit couvrir les voies d’accès et les modifications du compte.
La messagerie mérite une priorité particulière : elle reçoit souvent les liens de récupération d’autres services. Un incident sur ce compte peut donc toucher des achats, des réseaux sociaux ou des outils professionnels.
En bref — Agissez depuis un appareil de confiance. Utilisez la récupération officielle si nécessaire, puis contrôlez mot de passe, sessions, méthodes de connexion, coordonnées de secours, règles de courrier et applications autorisées. Préservez les éléments utiles et examinez les autres comptes exposés.
Partir d’un appareil suffisamment fiable
Si vous suspectez que l’ordinateur ou le téléphone utilisé a lui-même été compromis, changer le mot de passe depuis cet appareil peut laisser le problème intact. Utilisez un environnement de confiance et les interfaces officielles du fournisseur. Dans une entreprise, contactez rapidement le responsable informatique.
Ne cliquez pas sur un message vous promettant une récupération urgente sans vérifier son origine. Ouvrez vous-même le service ou son assistance. Une attaque peut être suivie de nouvelles tentatives exploitant la panique : faux support, demande de code ou logiciel prétendant nettoyer le compte.
Si vous n’avez plus accès à la messagerie, suivez le parcours officiel de récupération. Rassemblez les informations demandées sans les transmettre à des intermédiaires inconnus. Aucun prestataire contacté par message privé ne doit recevoir vos codes ou votre mot de passe.
La priorité dépend aussi de l’impact. Un compte personnel sans activité suspecte visible et un compte professionnel envoyant de fausses factures demandent des réponses différentes. Dans le second cas, l’équipe doit pouvoir limiter les dégâts pendant la reprise d’accès.
Notez les premiers symptômes et leur heure approximative. Cette chronologie aidera à examiner les événements et à prévenir les personnes concernées. Elle ne doit pas retarder une action urgente de protection lorsque le compte continue d’être utilisé frauduleusement.
Changer le secret et vérifier les autres méthodes
Choisissez un mot de passe nouveau, solide et propre à ce compte si le service utilise encore cette méthode. Si l’ancien était réemployé ailleurs, les autres comptes concernés doivent être examinés et leurs secrets modifiés de manière appropriée.
Contrôlez ensuite les méthodes de connexion enregistrées : authentification supplémentaire, passkeys, clés de sécurité, numéros et autres dispositifs proposés. Une méthode inconnue ne doit pas être laissée simplement parce que votre propre méthode fonctionne encore.
Les coordonnées de récupération sont essentielles. Vérifiez l’adresse de secours et le numéro réellement associés au compte. Un attaquant ayant pu les modifier peut disposer d’une autre voie de retour. Confirmez vos informations avant de retirer un élément, pour éviter de vous bloquer vous-même.
Le guide sur la récupération des comptes avec des passkeys explique comment préparer une méthode de secours indépendante. Après un incident, la même logique doit s’accompagner du retrait des méthodes que vous ne contrôlez pas.
Activer une protection supplémentaire améliore les connexions futures dans les conditions du service. Cela ne remplace pas l’examen des sessions déjà ouvertes et des droits accordés à d’autres applications. Chaque voie doit être traitée à son propre niveau.
Les sessions actives ne disparaissent pas toujours de la même façon
Les fournisseurs proposent des pages permettant d’examiner les appareils ou les sessions ayant accès au compte. Les intitulés et les effets des commandes varient. Cherchez la fonction explicite de déconnexion ou de révocation, plutôt que supposer que le nouveau mot de passe a tout fermé.
Une session peut correspondre à un navigateur, à une application ou à un contexte distinct sur un appareil. Plusieurs entrées ne prouvent pas automatiquement une attaque. À l’inverse, une entrée apparemment familière ne suffit pas à exclure un problème.
Examinez les dates, les appareils et les informations proposées. Une localisation approximative issue d’une adresse IP peut être imprécise, notamment selon les réseaux et les services utilisés. Ne désignez pas une personne ou un lieu comme responsable sur ce seul indice.
Si vous ne reconnaissez pas un accès, utilisez la procédure de protection prévue. Le service peut proposer de déconnecter plusieurs sessions ou de revoir l’activité de sécurité. Conservez une trace des éléments utiles selon les recommandations de l’assistance.
Après la révocation, vérifiez que vos appareils légitimes peuvent se reconnecter avec les méthodes désormais contrôlées. L’objectif est de restaurer un fonctionnement sûr, pas de supprimer au hasard toutes les possibilités jusqu’à rendre le compte inaccessible.
Règles, transferts et délégations : les modifications à rechercher
Un intrus peut utiliser une redirection pour recevoir de nouveaux messages ou une règle pour masquer certains courriers. Les réglages de messagerie doivent donc être examinés après la reprise d’accès. Cybermalveillance.gouv.fr recommande notamment de vérifier l’absence de règles ou de redirections indésirables.
Contrôlez les transferts automatiques, les filtres, les adresses de réponse et les délégations disponibles. Vérifiez également les fonctions d’envoi au nom du compte si votre service les propose. Une modification peut être légitime, mais elle doit avoir un responsable et une raison connue.
Dans une organisation, certains réglages sont administrés à un autre niveau. Une interface personnelle ne montre pas nécessairement toutes les permissions ou règles. Le responsable technique peut devoir examiner la configuration centrale et les journaux disponibles.
Ne supprimez pas une règle métier importante sans en comprendre l’usage. Photographiez ou exportez sa configuration si cela est approprié et autorisé, puis faites valider les éléments ambigus. La sécurité ne doit pas provoquer une seconde interruption en effaçant des réglages nécessaires.
Un contrôle utile distingue donc les règles attendues, les règles inconnues et les règles mal documentées. Les deux dernières catégories demandent une analyse ; seule l’apparence du nom ne suffit pas à décider.
| Zone | Question à poser | Action prévue par le service |
|---|---|---|
| Sessions | Qui peut encore utiliser le compte ? | Examiner et déconnecter les accès non maîtrisés |
| Récupération | Qui peut demander un nouvel accès ? | Vérifier les coordonnées et les méthodes |
| Courrier | Où partent les nouveaux messages ? | Contrôler les transferts et les filtres |
| Applications | Quels outils ont des droits ? | Examiner et retirer les associations inutiles ou inconnues |
| Compte administré | Existe-t-il des permissions centrales ? | Faire intervenir le responsable habilité |
Les applications autorisées constituent une autre porte
Une application associée au compte peut disposer de permissions accordées auparavant. La modification du mot de passe ne doit pas être considérée comme une preuve générale que toutes ces associations sont supprimées. Examinez la page dédiée du fournisseur.
Relevez le nom de l’application, son éditeur, les permissions affichées et son utilité actuelle. Une ancienne extension de productivité ou un service d’export oublié peut conserver des droits sans répondre à un besoin. Un nom familier doit être comparé à l’éditeur et à l’usage réel.
Retirez les associations inutiles ou non reconnues selon les commandes prévues. Leur suppression peut interrompre un outil légitime ; prévenez son responsable si nécessaire. Dans un compte professionnel, respectez la procédure de l’organisation.
Certains services proposent aussi des mots de passe d’application pour des logiciels particuliers. Si cette fonction existe dans votre compte, vérifiez les éléments enregistrés et les recommandations du fournisseur après un incident. Ne confondez pas ces secrets avec le mot de passe principal.
Après nettoyage, ne réautorisez pas immédiatement tous les outils sur la base de leurs anciennes notifications. Vérifiez d’abord lesquels sont nécessaires et quelles permissions ils demandent. La reprise de contrôle est une occasion de réduire les dépendances oubliées.
Examiner les messages sans effacer les preuves trop vite
Consultez les messages envoyés, supprimés ou déplacés dans la période concernée, dans les limites de ce que votre service conserve. Recherchez des demandes d’argent, des liens de récupération ou des changements de coordonnées. L’absence de message visible ne garantit pas qu’aucune action n’a eu lieu.
Préservez les éléments utiles selon le contexte : dates, notifications, références et messages suspects. Ne les publiez pas avec des données personnelles. Pour une démarche de signalement ou de plainte, les canaux officiels peuvent préciser les informations nécessaires.
Si le compte a été utilisé pour contacter d’autres personnes, prévenez les destinataires concernés avec un message clair envoyé par un canal maîtrisé. Indiquez la période et la nature du risque sans inventer ce que vous ne savez pas. Une alerte ciblée peut éviter qu’une demande frauduleuse soit exécutée.
Dans une entreprise, coordonnez la communication. Des messages contradictoires peuvent augmenter la confusion. Si une facture ou une coordonnée bancaire a été modifiée, les personnes responsables doivent vérifier les opérations et les échanges concernés.
Ne faites pas de restitution d’argent ou de changement bancaire sur la seule base d’un email prétendant corriger le précédent. Utilisez un canal de vérification indépendant et connu. La compromission d’une messagerie rend son contenu récent moins fiable comme preuve d’identité.
Les autres comptes à examiner par priorité
La messagerie peut servir à récupérer d’autres services. Recherchez les notifications de changement de mot de passe, de nouvel appareil ou de modification de coordonnées dans la période suspecte. Connectez-vous ensuite aux services concernés par leurs interfaces officielles.
Commencez par les comptes qui ont un impact important : compte de synchronisation, outils professionnels, réseaux sociaux utilisés pour l’activité et services financiers selon le contexte. Contrôlez leurs sessions et méthodes de récupération, pas seulement leur mot de passe.
Si vous avez réutilisé le même secret, l’examen doit s’étendre à ces comptes. Un gestionnaire de mots de passe peut aider à conserver des secrets distincts, mais sa propre protection et sa récupération doivent être maîtrisées.
Les documents accessibles dans la boîte peuvent aussi contenir des informations sensibles. Dans une organisation, l’incident doit être évalué par les personnes compétentes pour déterminer les obligations et les mesures nécessaires. Ne concluez pas seul qu’il n’existe aucun impact parce que le compte fonctionne à nouveau.
La priorité n’est pas de passer une journée à changer tous les réglages sans ordre. Elle est de fermer les accès actifs, protéger les voies de récupération, puis traiter les conséquences plausibles sur les comptes et les personnes concernés.
Comprendre l’origine sans inventer un coupable
Le piratage peut avoir plusieurs causes : phishing, secret réutilisé, appareil compromis ou autorisation trompeuse, notamment. Les symptômes ne permettent pas toujours de trancher. Une analyse doit partir des éléments disponibles et conserver les incertitudes.
Le dossier sur les autorisations et demandes liées au phishing aide à reconnaître certaines sollicitations. Mais une absence de faux email identifié ne prouve pas que l’appareil est sain ou que le secret n’a jamais été exposé.
Vérifiez les mises à jour et les extensions sur les appareils utilisés. Si un logiciel malveillant est suspecté, suivez une procédure de diagnostic adaptée, avec une assistance compétente si nécessaire. Ne téléchargez pas un outil de nettoyage depuis un lien reçu après l’incident.
Un compte légitime compromis peut également produire des emails qui passent certains contrôles d’authentification du domaine. Le guide sur SPF, DKIM et DMARC explique pourquoi ces mécanismes ne certifient pas que chaque demande est honnête.
Une vérification après la reprise
Quelques jours après l’intervention, contrôlez les sessions, les coordonnées de secours et les règles. Vérifiez que les notifications arrivent et qu’aucun accès inconnu n’est réapparu. La fréquence dépend du contexte, mais un second contrôle peut révéler un élément oublié.
Gardez un journal des actions : date, élément examiné, modification et résultat. Pour un compte professionnel, cette trace doit rejoindre le suivi de l’incident. Elle permet de distinguer les protections réalisées de celles qui restent à confirmer.
Préparez enfin un secours pour l’avenir. Une méthode de récupération indépendante, des coordonnées actuelles et une procédure connue réduisent la panique lors d’un prochain problème. Le but n’est pas de conserver davantage de secrets partout, mais de savoir comment retrouver un accès autorisé.
Changer le mot de passe ouvre la reprise de contrôle ; il ne la clôt pas. Un examen des sessions, des permissions et des modifications du compte permet de traiter les voies qui peuvent rester actives. La qualité de la réponse se juge sur les accès désormais maîtrisés et sur les conséquences prises en charge, pas sur la seule possibilité de relire ses emails.
Si une activité suspecte persiste, faites réexaminer le compte et les appareils par une assistance compétente.
Je suis Romain, rédacteur passionné par tout ce qui touche au high-tech, à la crypto, et à l’innovation. Diplômé d’une école de marketing à Paris, je mets ma plume au service des dernières tendances et avancées technologiques.
