Une adresse pro sécurisée, et une boîte Hotmail en parallèle
Ce client dispose d’une adresse mail reliée à son nom de domaine, hébergée chez FC Micro et protégée par les standards de sécurité qu’on applique à toutes nos messageries professionnelles.
Mais pour ses factures, ses bulletins de paie et ses devis, il préférait utiliser une boîte Hotmail personnelle. Plus rapide à consulter depuis son téléphone, plus simple à configurer, sans les contraintes d’une messagerie d’entreprise.
Ce genre d’usage parallèle est courant chez les PME.
Beaucoup de dirigeants et de collaborateurs gardent un compte mail grand public à côté de leur adresse pro, pour aller plus vite sur certains échanges. Le problème, c’est qu’on choisit ce raccourci sans mesurer ce qu’il met en jeu : ce compte personnel, censé rester secondaire, finit par recevoir des documents de plus en plus sensibles, sans bénéficier d’aucune des protections mises en place sur la messagerie professionnelle.
Personne ne décide un jour d’y stocker des données à risque. Ça se fait progressivement, un devis envoyé depuis son téléphone parce que l’ordinateur pro n’était pas sous la main, une facture transférée pour aller plus vite, un bulletin de paie ajouté à la pile sans y penser.
Au bout de quelques mois, la boîte personnelle contient autant d’informations sensibles que la messagerie professionnelle, sans qu’aucune des protections mises en place sur celle-ci ne s’y applique.
Un piratage de boîte mail personnelle, et 125 clients visés
Ce client nous a appelés après avoir découvert le piratage de sa boîte Hotmail.
Les pirates avaient mis la main sur l’historique de ses échanges et sur ses modèles de factures. Ils ont envoyé de fausses factures, pour plusieurs centaines de milliers d’euros au total, à 125 de ses clients. Certains ont même reçu un appel téléphonique des pirates, qui les pressaient de régler rapidement.
L’opération ne s’arrêtait donc pas à l’envoi d’un mail frauduleux.
Elle s’appuyait sur des informations réelles, récupérées dans la boîte piratée, pour rendre l’arnaque crédible.
Un client qui reçoit une facture qui ressemble en tout point à ses factures habituelles, avec les bons montants et le bon ton, a peu de raisons de se méfier avant d’avoir payé.
Pourquoi une boîte grand public n’offre pas les mêmes garanties
Une messagerie professionnelle hébergée par un prestataire comme FC Micro répond à des exigences que n’a pas une boîte mail grand public gratuite : authentification renforcée, surveillance des connexions suspectes, politique de mots de passe imposée, sauvegardes et traçabilité des accès.
Une sensibilisation à la cybersécurité de vos équipes permet justement de faire comprendre cette différence avant qu’un incident ne la révèle de la pire des façons.
Une boîte personnelle, elle, reste sous la seule responsabilité de son propriétaire.
Personne dans l’entreprise ne sait quel mot de passe y est associé, si ce mot de passe est réutilisé ailleurs, ni si une double authentification y est activée.
Le prestataire informatique n’a aucune visibilité sur ce compte, et ne peut donc ni le surveiller, ni intervenir rapidement en cas d’anomalie.
Une image de marque qui ne se reconstruit pas comme un mot de passe
Pour la réputation de l’entreprise, l’impact a été lourd.
Ses clients ont reçu de fausses demandes de paiement en son nom, certains ont été relancés par téléphone, et il a fallu reprendre contact avec chacun d’eux pour rétablir la confiance.
Sur le plan assurantiel aussi, la situation s’est compliquée : la boîte mail utilisée pour ces échanges ne répondait pas aux normes de sécurité attendues, ce qui complique la prise en charge d’un tel incident.
Un mot de passe se change en quelques secondes.
La confiance d’un client qui a reçu une fausse facture à votre nom, elle, met beaucoup plus longtemps à se reconstruire.
Ce que ce cas dit des usages numériques dans les PME
Ce cas n’a rien d’isolé. De nombreuses entreprises fonctionnent encore aujourd’hui avec des comptes personnels utilisés en parallèle des outils professionnels, sans que personne ne mesure vraiment le risque tant que rien ne s’est produit.
C’est exactement ce qu’on appelle le shadow IT : des outils choisis par les équipes elles-mêmes, en dehors de tout cadre validé par le prestataire informatique, souvent pour de bonnes raisons pratiques, mais sans les garanties qui vont avec.
La leçon à en tirer dépasse ce client précis. Toute entreprise qui laisse ses collaborateurs faire transiter des documents sensibles par des comptes personnels s’expose au même scénario.
Poser la question à froid, avant qu’un incident ne la pose à chaud, reste la meilleure façon de l’éviter.