Connexion depuis l'étranger sur Microsoft 365 : piratage ou fausse alerte ?

L'essentiel en 30 secondes

Une connexion à Microsoft 365 depuis un pays inhabituel produit deux situations très différentes :

• une alerte : la connexion a réussi, et un outil de surveillance la signale. Il faut décider vite s'il s'agit d'un piratage ;
• un blocage : une règle d'accès conditionnel a refusé la connexion. Rien n'est compromis, mais un collaborateur est à l'arrêt.

Dans les deux cas, la réponse tient en une méthode : lire le journal de connexion, recouper avec la personne, décider, puis documenter la décision. Cet article s'appuie sur des cas réels traités par notre équipe, dont une alerte sur l'un de nos propres comptes.

Cas n° 1 : l'alerte, ou comment trancher entre piratage et faux positif

Ce qui nous est arrivé

Un dimanche soir, notre SOC a détecté une connexion réussie à l'un de nos comptes Microsoft 365 depuis l'Irlande, un pays absent de notre liste de pays approuvés. Trois alertes successives ont été émises, puis regroupées automatiquement en un seul ticket.

Le lendemain matin, l'analyse a montré que :

• aucun VPN, proxy ni réseau TOR n'était détecté ;
• l'appareil était le poste de travail cloud Windows 365 du titulaire du compte, hébergé dans un centre de données en Irlande ;
• l'activité était cohérente avec un déplacement, et le titulaire l'a confirmée.

Décision : événement de sécurité, pas un incident. Ticket clôturé moins de 11 heures après la détection, hors heures ouvrées. Nous avons ensuite fait un choix délibéré : garder l'alerte active plutôt qu'ajouter le pays à la liste autorisée. Trier une fausse alerte de temps en temps coûte peu ; élargir la liste affaiblit la détection pour tout le monde.

Les questions qui permettent de trancher

Face à une alerte de connexion étrangère, ouvrez le journal de connexion Microsoft Entra et répondez à ces questions :

1. L'appareil est-il connu ? Un poste géré par l'entreprise ou un poste cloud identifié rassure. Un navigateur inconnu sur un système inconnu inquiète.
2. Un VPN, un proxy ou TOR est-il signalé ? Les attaquants les utilisent pour masquer leur origine.
3. Le MFA a-t-il été satisfait, et comment ? Une validation MFA inattendue peut trahir une fatigue MFA ou un vol de session.
4. La localisation est-elle cohérente ? Déplacement prévu, poste de travail cloud hébergé à l'étranger, ou service tiers dont les serveurs sont hors de France.
5. Le titulaire confirme-t-il ? Demandez-lui par téléphone ou en personne, jamais par un e-mail envoyé à la boîte potentiellement compromise.

Si une seule réponse reste douteuse, traitez le compte comme compromis. Une mesure de précaution sur un compte légitime coûte un mot de passe à changer ; laisser un attaquant dans une messagerie coûte beaucoup plus cher.

Si le doute persiste : les gestes de la première heure

Microsoft documente la réponse à un compte de messagerie compromis. Dans l'ordre, voici ce que nous appliquons :

1. Révoquer toutes les sessions actives du compte. Attention : la révocation n'est pas instantanée, un jeton d'accès déjà émis reste valable jusqu'à son expiration.
2. Changer le mot de passe, puis vérifier les méthodes MFA enregistrées : un attaquant ajoute souvent son propre téléphone.
3. Contrôler les règles de transfert de la boîte aux lettres : un transfert vers une adresse externe est un grand classique.
4. Contrôler les règles de boîte de réception : déplacement ou suppression automatique des réponses de la banque, du comptable ou d'un fournisseur.
5. Vérifier les applications autorisées par l'utilisateur : une application tierce à qui il a donné son consentement garde son accès après le changement de mot de passe.
6. Vérifier les rôles d'administration : aucun rôle ne doit avoir été attribué au compte, ni depuis ce compte.
7. Rechercher dans le journal d'audit les connexions, les créations de règles et les accès aux boîtes sur la période concernée, puis retrouver les autres destinataires du message piégé s'il y en a un.

Les étapes 3 à 6 sont celles qu'on oublie le plus souvent, alors que ce sont elles qui permettent à un attaquant de rester après le changement de mot de passe.

Cas n° 2 : le blocage, ou le collaborateur à l'arrêt à l'étranger

Le symptôme

Le collaborateur signale qu'il n'a plus accès à rien : Outlook, Teams, SharePoint, portail. Aucune alerte n'a été émise, c'est un blocage silencieux : l'information remonte par l'utilisateur ou par son dirigeant.

Dans le journal de connexion, la signature est nette : erreur 53003 (accès bloqué par une stratégie d'accès conditionnel, voir les codes d'erreur Microsoft Entra), avec la règle de blocage géographique en échec et les règles MFA en succès. Le MFA réussi prouve que l'identité n'est pas en cause : seul le filtre géographique bloque.

D'où vient le problème

Les modèles de sécurité courants pour Microsoft 365 bloquent les connexions depuis une liste de pays jugés à risque. Le principe est sain. Mais la liste par défaut que nous rencontrons dans les bases de sécurité du marché compte 85 pays, dont des destinations d'affaires courantes : États-Unis, Corée du Sud, Inde, Afrique du Sud, Australie.

Nous avons traité trois situations réelles chez des clients :

• un collaborateur en déplacement aux États-Unis, dans une entreprise entièrement dans le cloud : sans poste physique, le blocage lui retirait aussi son poste de travail virtuel. Il était totalement à l'arrêt ;
• un collaborateur en mission hors de l'Union européenne, pour qui l'entreprise voulait autoriser ce seul pays sans ouvrir les autres ;
• un cabinet d'avocats utilisant un connecteur IA relié à Microsoft 365 : la connexion était évaluée depuis l'adresse du serveur du connecteur, situé aux États-Unis, et non depuis le bureau de l'utilisateur, en France.

Ce dernier cas est de plus en plus fréquent avec les assistants IA connectés à Microsoft 365 : il faut chercher dans les connexions non interactives, et vérifier l'application exacte en échec.

Les bonnes corrections, de la plus légère à la plus large

1. Un VPN sortant en France, si la règle se fonde sur l'adresse IP publique. Aucun changement dans le tenant.
2. Un groupe d'exclusion dédié à la seule règle géographique, dans lequel on place la personne le temps du déplacement. Ne réutilisez jamais un groupe exclu de toutes les règles : la personne perdrait aussi le MFA et les autres protections.
3. Une exception ciblée : une copie de la règle géographique réservée à ce collaborateur, qui autorise le pays de destination et continue de bloquer tous les autres. C'est la solution la plus propre pour un déplacement de plusieurs jours, et elle reste traçable pour un audit.
4. Le retrait du pays de la liste, pour tout le monde et durablement. C'est parfois la bonne décision (un fournisseur ou un service utilisé au quotidien est hébergé dans ce pays), mais elle doit être arbitrée avec la direction, surtout dans un secteur réglementé.

Le meilleur correctif reste l'anticipation : demander les déplacements hors Union européenne lors de la mise en place et des revues de sécurité, et préparer l'exception avant le départ.

Pour comprendre le fonctionnement de ces règles, consultez notre guide de l'accès conditionnel Microsoft Entra et la documentation Microsoft sur les signaux réseau.

Documenter la décision, même pour une fausse alerte

Dans notre propre cas, la partie la plus utile n'a pas été la détection, mais la trace écrite : ce qui a été vérifié, avec qui, et pourquoi l'événement n'a pas été qualifié d'incident.

C'est exactement ce qu'attend la norme ISO 27001 : apprécier chaque événement de sécurité et décider s'il constitue un incident. C'est aussi ce que demandent DORA et NIS 2 aux organisations concernées : pouvoir montrer comment un événement a été détecté, classé et traité. Une alerte bien documentée, même close en faux positif, est une preuve que le dispositif fonctionne. Notre page ISO 27001 détaille ce que nous couvrons sur le volet technique.

Ce qu'il faut retenir

• Alerte ou blocage : deux situations opposées, qui se lisent dans le même journal de connexion.
• Trancher avec méthode : appareil, VPN, MFA, cohérence, confirmation par un autre canal.
• En cas de doute, agir : sessions révoquées, mot de passe changé, puis règles de transfert, applications et rôles vérifiés.
• Blocage géographique : une exception limitée à la personne et à la durée, pas la suppression de la règle.
• Tout documenter, y compris les fausses alertes.

Nos équipes appliquent cette méthode au quotidien dans le cadre de la sécurisation Microsoft 365 et de la gestion des identités et des accès, avec une surveillance 24/7 par notre SOC managé.

Sources

• Microsoft : répondre à un compte de messagerie compromis dans Microsoft 365
• Microsoft : révoquer les accès utilisateur en cas d'urgence dans Microsoft Entra ID
• Microsoft : journaux de connexion dans Microsoft Entra ID
• Microsoft : stratégie d'accès conditionnel et signaux réseau
• Microsoft : codes d'erreur d'authentification Microsoft Entra