[{"data":1,"prerenderedAt":489},["ShallowReactive",2],{"\u002Fblog\u002Fconnexion-etranger-microsoft-365-piratage-ou-fausse-alerte\u002F":3,"related-\u002Fblog\u002Fconnexion-etranger-microsoft-365-piratage-ou-fausse-alerte":465},{"id":4,"title":5,"author":6,"body":7,"category":436,"date":437,"description":438,"draft":439,"extension":440,"faqs":441,"image":454,"meta":457,"navigation":458,"path":459,"seo":460,"seoTitle":461,"showOnBlog":458,"stem":462,"updatedAt":463,"__hash__":464},"blog\u002Fblog\u002Fconnexion-etranger-microsoft-365-piratage-ou-fausse-alerte.md","Connexion depuis l'étranger sur Microsoft 365 : piratage ou fausse alerte ?","Valentin Bourgeois",{"type":8,"value":9,"toc":417},"minimark",[10,15,19,36,39,43,48,57,60,71,78,82,92,125,128,132,141,191,194,198,202,205,218,222,229,232,252,264,268,294,297,311,315,318,326,330,362,378,382,414],[11,12,14],"h2",{"id":13},"lessentiel-en-30-secondes","L'essentiel en 30 secondes",[16,17,18],"p",{},"Une connexion à Microsoft 365 depuis un pays inhabituel produit deux situations très différentes :",[20,21,22,30],"ul",{},[23,24,25,29],"li",{},[26,27,28],"strong",{},"une alerte"," : la connexion a réussi, et un outil de surveillance la signale. Il faut décider vite s'il s'agit d'un piratage ;",[23,31,32,35],{},[26,33,34],{},"un blocage"," : une règle d'accès conditionnel a refusé la connexion. Rien n'est compromis, mais un collaborateur est à l'arrêt.",[16,37,38],{},"Dans les deux cas, la réponse tient en une méthode : lire le journal de connexion, recouper avec la personne, décider, puis documenter la décision. Cet article s'appuie sur des cas réels traités par notre équipe, dont une alerte sur l'un de nos propres comptes.",[11,40,42],{"id":41},"cas-n-1-lalerte-ou-comment-trancher-entre-piratage-et-faux-positif","Cas n° 1 : l'alerte, ou comment trancher entre piratage et faux positif",[44,45,47],"h3",{"id":46},"ce-qui-nous-est-arrivé","Ce qui nous est arrivé",[16,49,50,51,56],{},"Un dimanche soir, notre ",[52,53,55],"a",{"href":54},"\u002Fsoc-manage\u002F","SOC"," a détecté une connexion réussie à l'un de nos comptes Microsoft 365 depuis l'Irlande, un pays absent de notre liste de pays approuvés. Trois alertes successives ont été émises, puis regroupées automatiquement en un seul ticket.",[16,58,59],{},"Le lendemain matin, l'analyse a montré que :",[20,61,62,65,68],{},[23,63,64],{},"aucun VPN, proxy ni réseau TOR n'était détecté ;",[23,66,67],{},"l'appareil était le poste de travail cloud Windows 365 du titulaire du compte, hébergé dans un centre de données en Irlande ;",[23,69,70],{},"l'activité était cohérente avec un déplacement, et le titulaire l'a confirmée.",[16,72,73,74,77],{},"Décision : ",[26,75,76],{},"événement de sécurité, pas un incident",". Ticket clôturé moins de 11 heures après la détection, hors heures ouvrées. Nous avons ensuite fait un choix délibéré : garder l'alerte active plutôt qu'ajouter le pays à la liste autorisée. Trier une fausse alerte de temps en temps coûte peu ; élargir la liste affaiblit la détection pour tout le monde.",[44,79,81],{"id":80},"les-questions-qui-permettent-de-trancher","Les questions qui permettent de trancher",[16,83,84,85,91],{},"Face à une alerte de connexion étrangère, ouvrez le ",[52,86,90],{"href":87,"rel":88},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fentra\u002Fidentity\u002Fmonitoring-health\u002Fconcept-sign-ins",[89],"nofollow","journal de connexion Microsoft Entra"," et répondez à ces questions :",[93,94,95,101,107,113,119],"ol",{},[23,96,97,100],{},[26,98,99],{},"L'appareil est-il connu ?"," Un poste géré par l'entreprise ou un poste cloud identifié rassure. Un navigateur inconnu sur un système inconnu inquiète.",[23,102,103,106],{},[26,104,105],{},"Un VPN, un proxy ou TOR est-il signalé ?"," Les attaquants les utilisent pour masquer leur origine.",[23,108,109,112],{},[26,110,111],{},"Le MFA a-t-il été satisfait, et comment ?"," Une validation MFA inattendue peut trahir une fatigue MFA ou un vol de session.",[23,114,115,118],{},[26,116,117],{},"La localisation est-elle cohérente ?"," Déplacement prévu, poste de travail cloud hébergé à l'étranger, ou service tiers dont les serveurs sont hors de France.",[23,120,121,124],{},[26,122,123],{},"Le titulaire confirme-t-il ?"," Demandez-lui par téléphone ou en personne, jamais par un e-mail envoyé à la boîte potentiellement compromise.",[16,126,127],{},"Si une seule réponse reste douteuse, traitez le compte comme compromis. Une mesure de précaution sur un compte légitime coûte un mot de passe à changer ; laisser un attaquant dans une messagerie coûte beaucoup plus cher.",[11,129,131],{"id":130},"si-le-doute-persiste-les-gestes-de-la-première-heure","Si le doute persiste : les gestes de la première heure",[16,133,134,135,140],{},"Microsoft documente la ",[52,136,139],{"href":137,"rel":138},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fdefender-office-365\u002Fresponding-to-a-compromised-email-account",[89],"réponse à un compte de messagerie compromis",". Dans l'ordre, voici ce que nous appliquons :",[93,142,143,155,161,167,173,179,185],{},[23,144,145,148,149,154],{},[26,146,147],{},"Révoquer toutes les sessions actives"," du compte. Attention : la ",[52,150,153],{"href":151,"rel":152},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fentra\u002Fidentity\u002Fusers\u002Fusers-revoke-access",[89],"révocation"," n'est pas instantanée, un jeton d'accès déjà émis reste valable jusqu'à son expiration.",[23,156,157,160],{},[26,158,159],{},"Changer le mot de passe",", puis vérifier les méthodes MFA enregistrées : un attaquant ajoute souvent son propre téléphone.",[23,162,163,166],{},[26,164,165],{},"Contrôler les règles de transfert"," de la boîte aux lettres : un transfert vers une adresse externe est un grand classique.",[23,168,169,172],{},[26,170,171],{},"Contrôler les règles de boîte de réception"," : déplacement ou suppression automatique des réponses de la banque, du comptable ou d'un fournisseur.",[23,174,175,178],{},[26,176,177],{},"Vérifier les applications autorisées"," par l'utilisateur : une application tierce à qui il a donné son consentement garde son accès après le changement de mot de passe.",[23,180,181,184],{},[26,182,183],{},"Vérifier les rôles d'administration"," : aucun rôle ne doit avoir été attribué au compte, ni depuis ce compte.",[23,186,187,190],{},[26,188,189],{},"Rechercher dans le journal d'audit"," les connexions, les créations de règles et les accès aux boîtes sur la période concernée, puis retrouver les autres destinataires du message piégé s'il y en a un.",[16,192,193],{},"Les étapes 3 à 6 sont celles qu'on oublie le plus souvent, alors que ce sont elles qui permettent à un attaquant de rester après le changement de mot de passe.",[11,195,197],{"id":196},"cas-n-2-le-blocage-ou-le-collaborateur-à-larrêt-à-létranger","Cas n° 2 : le blocage, ou le collaborateur à l'arrêt à l'étranger",[44,199,201],{"id":200},"le-symptôme","Le symptôme",[16,203,204],{},"Le collaborateur signale qu'il n'a plus accès à rien : Outlook, Teams, SharePoint, portail. Aucune alerte n'a été émise, c'est un blocage silencieux : l'information remonte par l'utilisateur ou par son dirigeant.",[16,206,207,208,211,212,217],{},"Dans le journal de connexion, la signature est nette : erreur ",[26,209,210],{},"53003"," (accès bloqué par une stratégie d'accès conditionnel, voir les ",[52,213,216],{"href":214,"rel":215},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fentra\u002Fidentity-platform\u002Freference-error-codes",[89],"codes d'erreur Microsoft Entra","), avec la règle de blocage géographique en échec et les règles MFA en succès. Le MFA réussi prouve que l'identité n'est pas en cause : seul le filtre géographique bloque.",[44,219,221],{"id":220},"doù-vient-le-problème","D'où vient le problème",[16,223,224,225,228],{},"Les modèles de sécurité courants pour Microsoft 365 bloquent les connexions depuis une liste de pays jugés à risque. Le principe est sain. Mais la liste par défaut que nous rencontrons dans les bases de sécurité du marché compte ",[26,226,227],{},"85 pays",", dont des destinations d'affaires courantes : États-Unis, Corée du Sud, Inde, Afrique du Sud, Australie.",[16,230,231],{},"Nous avons traité trois situations réelles chez des clients :",[20,233,234,240,246],{},[23,235,236,239],{},[26,237,238],{},"un collaborateur en déplacement aux États-Unis",", dans une entreprise entièrement dans le cloud : sans poste physique, le blocage lui retirait aussi son poste de travail virtuel. Il était totalement à l'arrêt ;",[23,241,242,245],{},[26,243,244],{},"un collaborateur en mission hors de l'Union européenne",", pour qui l'entreprise voulait autoriser ce seul pays sans ouvrir les autres ;",[23,247,248,251],{},[26,249,250],{},"un cabinet d'avocats utilisant un connecteur IA"," relié à Microsoft 365 : la connexion était évaluée depuis l'adresse du serveur du connecteur, situé aux États-Unis, et non depuis le bureau de l'utilisateur, en France.",[16,253,254,255,259,260,263],{},"Ce dernier cas est de plus en plus fréquent avec les ",[52,256,258],{"href":257},"\u002Fintegration-claude-entreprise\u002F","assistants IA connectés à Microsoft 365"," : il faut chercher dans les connexions ",[26,261,262],{},"non interactives",", et vérifier l'application exacte en échec.",[44,265,267],{"id":266},"les-bonnes-corrections-de-la-plus-légère-à-la-plus-large","Les bonnes corrections, de la plus légère à la plus large",[93,269,270,276,282,288],{},[23,271,272,275],{},[26,273,274],{},"Un VPN sortant en France",", si la règle se fonde sur l'adresse IP publique. Aucun changement dans le tenant.",[23,277,278,281],{},[26,279,280],{},"Un groupe d'exclusion dédié à la seule règle géographique",", dans lequel on place la personne le temps du déplacement. Ne réutilisez jamais un groupe exclu de toutes les règles : la personne perdrait aussi le MFA et les autres protections.",[23,283,284,287],{},[26,285,286],{},"Une exception ciblée"," : une copie de la règle géographique réservée à ce collaborateur, qui autorise le pays de destination et continue de bloquer tous les autres. C'est la solution la plus propre pour un déplacement de plusieurs jours, et elle reste traçable pour un audit.",[23,289,290,293],{},[26,291,292],{},"Le retrait du pays de la liste",", pour tout le monde et durablement. C'est parfois la bonne décision (un fournisseur ou un service utilisé au quotidien est hébergé dans ce pays), mais elle doit être arbitrée avec la direction, surtout dans un secteur réglementé.",[16,295,296],{},"Le meilleur correctif reste l'anticipation : demander les déplacements hors Union européenne lors de la mise en place et des revues de sécurité, et préparer l'exception avant le départ.",[16,298,299,300,304,305,310],{},"Pour comprendre le fonctionnement de ces règles, consultez notre ",[52,301,303],{"href":302},"\u002Fblog\u002Facces-conditionnel-entra-id-zero-trust-pme-guide-technique\u002F","guide de l'accès conditionnel Microsoft Entra"," et la documentation Microsoft sur les ",[52,306,309],{"href":307,"rel":308},"https:\u002F\u002Flearn.microsoft.com\u002Ffr-fr\u002Fentra\u002Fidentity\u002Fconditional-access\u002Fconcept-assignment-network",[89],"signaux réseau",".",[11,312,314],{"id":313},"documenter-la-décision-même-pour-une-fausse-alerte","Documenter la décision, même pour une fausse alerte",[16,316,317],{},"Dans notre propre cas, la partie la plus utile n'a pas été la détection, mais la trace écrite : ce qui a été vérifié, avec qui, et pourquoi l'événement n'a pas été qualifié d'incident.",[16,319,320,321,325],{},"C'est exactement ce qu'attend la norme ISO 27001 : apprécier chaque événement de sécurité et décider s'il constitue un incident. C'est aussi ce que demandent DORA et NIS 2 aux organisations concernées : pouvoir montrer comment un événement a été détecté, classé et traité. Une alerte bien documentée, même close en faux positif, est une preuve que le dispositif fonctionne. Notre page ",[52,322,324],{"href":323},"\u002Fconformite\u002Fiso-27001\u002F","ISO 27001"," détaille ce que nous couvrons sur le volet technique.",[11,327,329],{"id":328},"ce-quil-faut-retenir","Ce qu'il faut retenir",[20,331,332,338,344,350,356],{},[23,333,334,337],{},[26,335,336],{},"Alerte ou blocage"," : deux situations opposées, qui se lisent dans le même journal de connexion.",[23,339,340,343],{},[26,341,342],{},"Trancher avec méthode"," : appareil, VPN, MFA, cohérence, confirmation par un autre canal.",[23,345,346,349],{},[26,347,348],{},"En cas de doute, agir"," : sessions révoquées, mot de passe changé, puis règles de transfert, applications et rôles vérifiés.",[23,351,352,355],{},[26,353,354],{},"Blocage géographique"," : une exception limitée à la personne et à la durée, pas la suppression de la règle.",[23,357,358,361],{},[26,359,360],{},"Tout documenter",", y compris les fausses alertes.",[16,363,364,365,369,370,374,375,310],{},"Nos équipes appliquent cette méthode au quotidien dans le cadre de la ",[52,366,368],{"href":367},"\u002Fsecurisation-microsoft-365\u002F","sécurisation Microsoft 365"," et de la ",[52,371,373],{"href":372},"\u002Fgestion-des-identites-et-acces-iam\u002F","gestion des identités et des accès",", avec une surveillance 24\u002F7 par notre ",[52,376,377],{"href":54},"SOC managé",[11,379,381],{"id":380},"sources","Sources",[20,383,384,390,396,402,408],{},[23,385,386],{},[52,387,389],{"href":137,"rel":388},[89],"Microsoft : répondre à un compte de messagerie compromis dans Microsoft 365",[23,391,392],{},[52,393,395],{"href":151,"rel":394},[89],"Microsoft : révoquer les accès utilisateur en cas d'urgence dans Microsoft Entra ID",[23,397,398],{},[52,399,401],{"href":87,"rel":400},[89],"Microsoft : journaux de connexion dans Microsoft Entra ID",[23,403,404],{},[52,405,407],{"href":307,"rel":406},[89],"Microsoft : stratégie d'accès conditionnel et signaux réseau",[23,409,410],{},[52,411,413],{"href":214,"rel":412},[89],"Microsoft : codes d'erreur d'authentification Microsoft Entra",[415,416],"cta",{},{"title":418,"searchDepth":419,"depth":419,"links":420},"",2,[421,422,427,428,433,434,435],{"id":13,"depth":419,"text":14},{"id":41,"depth":419,"text":42,"children":423},[424,426],{"id":46,"depth":425,"text":47},3,{"id":80,"depth":425,"text":81},{"id":130,"depth":419,"text":131},{"id":196,"depth":419,"text":197,"children":429},[430,431,432],{"id":200,"depth":425,"text":201},{"id":220,"depth":425,"text":221},{"id":266,"depth":425,"text":267},{"id":313,"depth":419,"text":314},{"id":328,"depth":419,"text":329},{"id":380,"depth":419,"text":381},"Cybersécurité","2026-10-14","Alerte de connexion depuis un pays inhabituel ou collaborateur bloqué en déplacement : comment trancher, quoi faire dans l'heure, et comment l'éviter.",false,"md",[442,445,448,451],{"question":443,"answer":444},"Une alerte de connexion depuis l'étranger signifie-t-elle que mon compte est piraté ?","Pas forcément. Un déplacement, un poste de travail dans le cloud ou un service tiers connecté à Microsoft 365 peuvent produire une connexion vue depuis un autre pays. Il faut vérifier l'appareil, la présence d'un VPN ou de TOR, la cohérence avec l'agenda du collaborateur, et le confirmer avec lui par un autre canal que la messagerie.",{"question":446,"answer":447},"Que faire en premier si je pense qu'un compte Microsoft 365 est compromis ?","Révoquer les sessions actives, changer le mot de passe, vérifier les méthodes MFA enregistrées, puis contrôler les règles de transfert et de boîte de réception, les applications autorisées et les rôles d'administration. La révocation n'est pas instantanée : un jeton d'accès déjà émis reste valable jusqu'à son expiration.",{"question":449,"answer":450},"Pourquoi un collaborateur en déplacement ne peut-il plus se connecter à Microsoft 365 ?","Souvent parce qu'une règle d'accès conditionnel bloque les pays non approuvés. Le journal de connexion affiche alors l'erreur 53003. La bonne réponse est une exception limitée dans le temps et à la personne, pas la suppression de la règle pour tout le monde.",{"question":452,"answer":453},"Faut-il bloquer tous les pays étrangers dans Microsoft 365 ?","Bloquer les pays où l'entreprise n'a aucune activité réduit la surface d'attaque, mais la liste doit être adaptée aux déplacements réels et aux services tiers utilisés. Une liste copiée telle quelle d'un modèle bloque parfois des destinations d'affaires courantes, comme les États-Unis.",{"src":455,"alt":456},"\u002Fblog\u002Facces-conditionnel-entra-id-zero-trust-pme-guide-technique.webp","Contrôle d'une connexion Microsoft 365 selon la localisation, l'appareil, l'heure et l'identité",{},true,"\u002Fblog\u002Fconnexion-etranger-microsoft-365-piratage-ou-fausse-alerte",{"title":5,"description":438},"Connexion étrangère sur Microsoft 365 : piratage ?","blog\u002Fconnexion-etranger-microsoft-365-piratage-ou-fausse-alerte",null,"wxsmXSNiRWJr9EVqXYO9S3FjFRJ9aMlwdy669dhp3uk",[466,474,482],{"path":467,"title":468,"description":469,"image":470,"date":473,"category":436},"\u002Fblog\u002Fpatch-tuesday-aout-2026-microsoft","Patch Tuesday août 2026 : 398 failles et un zero-day Windows exploité par la Corée du Nord","Patch Tuesday août 2026 : Microsoft corrige environ 398 vulnérabilités dont un zero-day Windows déjà utilisé pour installer un rootkit. Ce qu'une PME doit traiter en priorité.",{"src":471,"alt":472},"\u002Fblog\u002Fpatch-tuesday-microsoft.webp","Patch Tuesday Microsoft août 2026, correctifs de sécurité pour PME","2026-08-11",{"path":475,"title":476,"description":477,"image":478,"date":481,"category":436},"\u002Fblog\u002Fcertification-iso-27001-retour-experience","Certification ISO 27001 : ce que trois démarches clients et la nôtre nous ont appris","Ce qui bloque une certification ISO 27001 n'est presque jamais technique. Retour d'expérience sur des démarches clients et sur la nôtre.",{"src":479,"alt":480},"\u002Fblog\u002Fcertification-iso-27001-retour-experience.webp","Deux professionnels examinent un tableau de bord de conformité ISO 27001 affichant des contrôles et leurs horodatages sur l'écran d'une salle de réunion","2026-08-07",{"path":483,"title":484,"description":485,"image":486,"date":488,"category":436},"\u002Fblog\u002Fpatch-tuesday-juillet-2026-microsoft","Patch Tuesday juillet 2026 : 570 failles, 3 zero-days exploités dont une RCE SharePoint à 9.8","Patch Tuesday juillet 2026 : Microsoft corrige environ 570 vulnérabilités et 3 failles déjà exploitées, dont une RCE SharePoint notée 9.8. Ce qu'une PME doit traiter en priorité.",{"src":471,"alt":487},"Patch Tuesday Microsoft juillet 2026, correctifs de sécurité pour PME","2026-07-14",1791935059375]