--- id: CP-017 slug: compromission-messagerie-professionnelle-bec lang: fr title: La compromission de boîte professionnelle (BEC) description: Comment un attaquant prend la main sur une boîte professionnelle ou usurpe un expéditeur connu, et comment vérifier une demande de paiement. canonical_url: https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « La compromission de boîte professionnelle (BEC) », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/ (CC BY 4.0) wing: 1 theme: detect_phishing reflex: cr-007 schema: G1 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/ en: https://startbrain.io/cyberpedia/en/articles/business-email-compromise-bec/ de: https://startbrain.io/cyberpedia/de/articles/kompromittierung-geschaeftlicher-e-mails-bec/ es: https://startbrain.io/cyberpedia/es/articles/compromiso-correo-empresarial-bec/ sources: - "n": 1 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" - "n": 2 title: Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/ accessed: "2026-11-03" - "n": 3 title: Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1534/ accessed: "2026-11-03" - "n": 4 title: Recognize and Report Phishing | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/recognize-and-report-phishing accessed: "2026-11-03" - "n": 5 title: "Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1114/003/ accessed: "2026-11-03" - "n": 6 title: "Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1566/002/ accessed: "2026-11-03" - "n": 7 title: New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog publisher: Microsoft url: https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ published: "2021-05-27" accessed: "2026-11-03" --- # La compromission de boîte professionnelle (BEC) Dans une compromission de boîte professionnelle, un attaquant se sert d'une adresse de confiance pour tromper un collègue, un client ou un fournisseur. Il a pris le contrôle d'une vraie boîte, ou il fabrique un message qui imite l'expéditeur. Le salarié reçoit une demande qui paraît ordinaire, par exemple un paiement à faire. Or des attaquants exploitent les habitudes de travail d'une organisation pour obtenir des paiements non autorisés [1]. Les sources citées ici ne traitent pas toutes cette fraude sous son nom. Elles documentent les techniques qui la rendent possible : usurpation de l'expéditeur, comptes compromis, règles de transfert cachées, domaines mal protégés. La fiche s'en tient à ce qu'elles disent. ## En 30 secondes - Où ça arrive : dans la messagerie, avec un message qui semble venir d'un interlocuteur connu, parfois depuis le vrai compte d'un collègue piraté [2][3]. - Ce que veut l'attaquant : obtenir un paiement non autorisé ou des mots de passe [1]. - Le réflexe : confirmer toute demande de paiement ou de changement par un second moyen de communication, en utilisant des coordonnées que vous connaissez déjà et pas celles du message [1][4]. - Si c'est déjà fait : signalez-le tout de suite, même après avoir cliqué. Un signalement rapide limite les dégâts [1]. ## Questions directes ### Qu'est-ce qu'une compromission de boîte professionnelle ? C'est une fraude par messagerie où l'attaquant joue le rôle d'une personne de confiance. Deux voies existent dans les sources. Soit il usurpe l'identité de l'expéditeur, ce que MITRE appelle « Email Spoofing » [2]. Soit il compromet un compte légitime et s'en sert pour écrire aux collègues de la victime [3]. ### Comment reconnaître le message ? CISA liste des signes courants : un langage urgent ou émotionnel, une demande d'informations personnelles ou financières, des adresses ou des liens incorrects, comme amazan.com [4]. Le même texte précise qu'une mauvaise orthographe n'est plus un indice fiable, parce que certains courriels ont désormais une grammaire parfaite [4]. ### Une adresse connue prouve-t-elle l'identité de l'expéditeur ? Non. L'usurpation d'expéditeur peut tromper le destinataire humain et les outils de sécurité automatiques [2]. Un attaquant peut aussi s'inviter dans un fil de discussion existant, ce que MITRE nomme « thread hijacking » [2]. Et lorsqu'un compte interne est réellement compromis, l'attaquant exploite la confiance accordée à ce compte pour tromper davantage de personnes [3]. ### Que faire si la demande semble réelle ? Ne cliquez sur aucun lien et n'appelez aucun numéro figurant dans le message. CISA recommande de chercher un autre moyen de joindre l'entreprise ou la personne, par exemple par un numéro obtenu sur un site vérifié, ou d'appeler un contact dont on a déjà le numéro [4]. Le NCSC britannique ajoute que les demandes importantes reçues par courriel doivent être vérifiées par un second type de communication : SMS, appel téléphonique, connexion à un compte, confirmation par courrier ou en personne [1]. ### Faut-il signaler une erreur de clic ? Oui. Le NCSC demande de ne pas réprimander les personnes qui se font piéger, car celles qui craignent des sanctions ne signalent pas leurs erreurs à temps, voire jamais [1]. Il invite aussi les organisations à faire en sorte que les utilisateurs puissent signaler un courriel, y compris après avoir cliqué [1]. ## Dans la peau de l'attaquant L'attaquant a deux points de départ. Le premier est un compte volé. Selon MITRE, un compte légitime peut être compromis en contrôlant l'appareil de l'utilisateur ou en obtenant ses identifiants, et l'attaquant s'en sert ensuite pour piéger d'autres personnes de la même organisation [3]. Pour voler les identifiants, il peut envoyer un lien vers un site qui imite une page de connexion [3]. Une fois dans la boîte, il peut y installer une règle de transfert. Elle lui permet de surveiller les activités de la victime, de voler des informations et de mieux connaître l'organisation [5]. Elle peut aussi lui garder l'accès aux courriels de la victime après la réinitialisation du mot de passe par les administrateurs [5]. Le second point de départ est l'usurpation, qui n'exige aucun accès. L'attaquant se renseigne alors à l'aide de ce qui est public. D'après le NCSC, les informations de votre site et de vos réseaux sociaux servent à rendre les messages ciblés plus convaincants, notamment pour viser un dirigeant dans une attaque dite « whaling » [1]. Les personnes qui gèrent des fonds ou administrent l'informatique l'intéressent davantage [1]. ## Ce que vous voyez à l'écran Le message arrive d'un nom connu et réclame une action rapide. Les signes décrits par CISA sont l'urgence, la demande d'informations financières et une adresse légèrement fausse [4]. Un domaine voisin peut suffire : MITRE note que le groupe Leviathan a envoyé des courriels à lien en utilisant souvent un domaine « lookalike » frauduleux et une image de marque volée [6]. Le texte est parfois irréprochable. Le NCSC cite un cas où un faux courriel de facture « needed urgent attention » était bien écrit, sans faute d'orthographe ni de grammaire [1]. Le nom affiché ne dit pas tout. Dans la campagne décrite plus bas, le courriel semblait venir d'une adresse usaid.gov, alors que l'adresse d'envoi réelle appartenait au service d'envoi en masse utilisé, avec une adresse de réponse (Reply-To) elle aussi en usaid.gov [7]. L'illustration suivante est inventée et neutralisée. Elle montre la forme typique d'une demande suspecte. ```text Illustration inventée, sans valeur réelle De : [nom d'un dirigeant] Objet : [paiement urgent] Corps : [demande de régler tout de suite une facture, de garder l'affaire confidentielle et de ne parler à personne] ``` ## Sous le capot Trois mécanismes reviennent dans les sources. Le premier est le vol d'identifiants par hameçonnage, vu plus haut. Contre lui, le NCSC recommande l'authentification multifacteur : avec un second facteur, un attaquant ne peut pas accéder à un compte avec le seul mot de passe volé [1]. CISA donne le même conseil aux particuliers [4]. Le deuxième est la règle de transfert. Les règles peuvent être créées depuis une application locale, une interface web ou une ligne de commande, et envoyer les messages vers des destinataires internes ou externes sans limite [5]. L'attaquant peut aussi masquer la règle en modifiant ses propriétés par l'API MAPI de Microsoft, ce qui la rend invisible dans Outlook, OWA et la plupart des outils d'administration Exchange [5]. Dans Exchange, des règles de transport peuvent même s'appliquer à tout le courrier d'une organisation [5]. MITRE conseille de désactiver le transfert externe, d'auditer régulièrement les règles et de configurer des alertes hors bande sur les envois inhabituels, comme les transferts de masse [5]. Le troisième est le contrôle du domaine d'expédition. MITRE recommande SPF pour vérifier le domaine de l'expéditeur et DKIM pour l'intégrité des messages, et note qu'une politique comme DMARC aide les destinataires à filtrer de la même manière [2]. Le NCSC précise que DMARC empêche des fraudeurs d'usurper votre domaine, et que si l'expéditeur a une politique DMARC de quarantaine ou de rejet, le destinataire doit l'appliquer quand la validation échoue [1]. MITRE reconnaît d'ailleurs que le courriel interne piégé est difficile à bloquer par des contrôles préventifs, car il repose sur l'abus de fonctions normales [3]. ## Autopsies ### 28 janvier 2021 : la campagne NOBELIUM, premières vagues Microsoft suit depuis janvier 2021 une campagne de courriels malveillants menée par NOBELIUM, l'acteur derrière les attaques contre SolarWinds [7]. Elle débute le 28 janvier 2021 : l'acteur envoie d'abord la seule partie de suivi du message, pour repérer les cibles qui cliquent, sans livrer de charge malveillante [7]. Ce cas vise l'installation de logiciels malveillants et non un paiement. Il montre pourtant la méthode : tester, observer qui réagit, adapter [7]. ### 25 mai 2021 : un expéditeur de confiance imité à grande échelle Le 25 mai 2021, NOBELIUM utilise le service légitime d'envoi en masse Constant Contact pour se faire passer pour une organisation américaine de développement [7]. Il cible environ 3 000 comptes dans plus de 150 organisations [7]. Dans un exemple, le courriel paraît venir de USAID, avec une adresse d'envoi authentique terminant par @in.constantcontact.com et une adresse de réponse en usaid.gov [7]. Le lien mène d'abord au service légitime, puis vers l'infrastructure de l'attaquant, qui livre un fichier ISO malveillant [7]. Les systèmes automatiques ont bloqué la plupart des courriels et les ont classés comme spam, mais certains des premiers messages ont pu être livrés [7]. Microsoft recommande l'authentification multifacteur pour limiter l'effet d'identifiants compromis [7]. ## Sources 1. NCSC (Royaume-Uni), « Phishing attacks: defending your organisation », 5 février 2018. https://www.ncsc.gov.uk/guidance/phishing (consulté le 3 novembre 2026) 2. MITRE ATT&CK, « Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/ (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1534/ (consulté le 3 novembre 2026) 4. CISA, « Recognize and Report Phishing | CISA ». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consulté le 3 novembre 2026) 5. MITRE ATT&CK, « Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1114/003/ (consulté le 3 novembre 2026) 6. MITRE ATT&CK, « Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/002/ (consulté le 3 novembre 2026) 7. Microsoft, « New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog », 27 mai 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.