Cyberpediapar Brain
FRDEEN

La compromission de boîte professionnelle (BEC)

Comment un attaquant prend la main sur une boîte professionnelle ou usurpe un expéditeur connu, et comment vérifier une demande de paiement.

En 30 secondes

Où ça arrive
Dans la messagerie, avec un message qui semble venir d'un interlocuteur connu, parfois depuis le vrai compte d'un collègue piraté23.
Ce que veut l'attaquant
Obtenir un paiement non autorisé ou des mots de passe1.
Le réflexe
Confirmer toute demande de paiement ou de changement par un second moyen de communication, en utilisant des coordonnées que vous connaissez déjà et pas celles du message14.
Si c'est déjà fait
Signalez-le tout de suite, même après avoir cliqué. Un signalement rapide limite les dégâts1.

De quoi parle-t-on

Dans une compromission de boîte professionnelle, un attaquant se sert d'une adresse de confiance pour tromper un collègue, un client ou un fournisseur. Il a pris le contrôle d'une vraie boîte, ou il fabrique un message qui imite l'expéditeur. Le salarié reçoit une demande qui paraît ordinaire, par exemple un paiement à faire. Or des attaquants exploitent les habitudes de travail d'une organisation pour obtenir des paiements non autorisés1.

Les sources citées ici ne traitent pas toutes cette fraude sous son nom. Elles documentent les techniques qui la rendent possible : usurpation de l'expéditeur, comptes compromis, règles de transfert cachées, domaines mal protégés. La fiche s'en tient à ce qu'elles disent.

Questions directes

Qu'est-ce qu'une compromission de boîte professionnelle ?

C'est une fraude par messagerie où l'attaquant joue le rôle d'une personne de confiance. Deux voies existent dans les sources. Soit il usurpe l'identité de l'expéditeur, ce que MITRE appelle « Email Spoofing »2. Soit il compromet un compte légitime et s'en sert pour écrire aux collègues de la victime3.

Comment reconnaître le message ?

CISA liste des signes courants : un langage urgent ou émotionnel, une demande d'informations personnelles ou financières, des adresses ou des liens incorrects, comme amazan.com4. Le même texte précise qu'une mauvaise orthographe n'est plus un indice fiable, parce que certains courriels ont désormais une grammaire parfaite4.

Une adresse connue prouve-t-elle l'identité de l'expéditeur ?

Non. L'usurpation d'expéditeur peut tromper le destinataire humain et les outils de sécurité automatiques2. Un attaquant peut aussi s'inviter dans un fil de discussion existant, ce que MITRE nomme « thread hijacking »2. Et lorsqu'un compte interne est réellement compromis, l'attaquant exploite la confiance accordée à ce compte pour tromper davantage de personnes3.

Que faire si la demande semble réelle ?

Ne cliquez sur aucun lien et n'appelez aucun numéro figurant dans le message. CISA recommande de chercher un autre moyen de joindre l'entreprise ou la personne, par exemple par un numéro obtenu sur un site vérifié, ou d'appeler un contact dont on a déjà le numéro4. Le NCSC britannique ajoute que les demandes importantes reçues par courriel doivent être vérifiées par un second type de communication : SMS, appel téléphonique, connexion à un compte, confirmation par courrier ou en personne1.

Faut-il signaler une erreur de clic ?

Oui. Le NCSC demande de ne pas réprimander les personnes qui se font piéger, car celles qui craignent des sanctions ne signalent pas leurs erreurs à temps, voire jamais1. Il invite aussi les organisations à faire en sorte que les utilisateurs puissent signaler un courriel, y compris après avoir cliqué1.

1Dans la peau de l'attaquant1 min

L'attaquant a deux points de départ. Le premier est un compte volé. Selon MITRE, un compte légitime peut être compromis en contrôlant l'appareil de l'utilisateur ou en obtenant ses identifiants, et l'attaquant s'en sert ensuite pour piéger d'autres personnes de la même organisation3. Pour voler les identifiants, il peut envoyer un lien vers un site qui imite une page de connexion3.

Une fois dans la boîte, il peut y installer une règle de transfert. Elle lui permet de surveiller les activités de la victime, de voler des informations et de mieux connaître l'organisation5. Elle peut aussi lui garder l'accès aux courriels de la victime après la réinitialisation du mot de passe par les administrateurs5.

Le second point de départ est l'usurpation, qui n'exige aucun accès. L'attaquant se renseigne alors à l'aide de ce qui est public. D'après le NCSC, les informations de votre site et de vos réseaux sociaux servent à rendre les messages ciblés plus convaincants, notamment pour viser un dirigeant dans une attaque dite « whaling »1. Les personnes qui gèrent des fonds ou administrent l'informatique l'intéressent davantage1.

2Ce que vous voyez à l'écran1 min

Le message arrive d'un nom connu et réclame une action rapide. Les signes décrits par CISA sont l'urgence, la demande d'informations financières et une adresse légèrement fausse4. Un domaine voisin peut suffire : MITRE note que le groupe Leviathan a envoyé des courriels à lien en utilisant souvent un domaine « lookalike » frauduleux et une image de marque volée6.

Le texte est parfois irréprochable. Le NCSC cite un cas où un faux courriel de facture « needed urgent attention » était bien écrit, sans faute d'orthographe ni de grammaire1.

Le nom affiché ne dit pas tout. Dans la campagne décrite plus bas, le courriel semblait venir d'une adresse usaid.gov, alors que l'adresse d'envoi réelle appartenait au service d'envoi en masse utilisé, avec une adresse de réponse (Reply-To) elle aussi en usaid.gov7.

L'illustration suivante est inventée et neutralisée. Elle montre la forme typique d'une demande suspecte.

Extrait
Illustration inventée, sans valeur réelle
De : [nom d'un dirigeant] <[email protected]>
Objet : [paiement urgent]
Corps : [demande de régler tout de suite une facture, de garder
         l'affaire confidentielle et de ne parler à personne]
3Sous le capotÉquipes IT2 min

Trois mécanismes reviennent dans les sources.

Le premier est le vol d'identifiants par hameçonnage, vu plus haut. Contre lui, le NCSC recommande l'authentification multifacteur : avec un second facteur, un attaquant ne peut pas accéder à un compte avec le seul mot de passe volé1. CISA donne le même conseil aux particuliers4.

Le deuxième est la règle de transfert. Les règles peuvent être créées depuis une application locale, une interface web ou une ligne de commande, et envoyer les messages vers des destinataires internes ou externes sans limite5. L'attaquant peut aussi masquer la règle en modifiant ses propriétés par l'API MAPI de Microsoft, ce qui la rend invisible dans Outlook, OWA et la plupart des outils d'administration Exchange5. Dans Exchange, des règles de transport peuvent même s'appliquer à tout le courrier d'une organisation5. MITRE conseille de désactiver le transfert externe, d'auditer régulièrement les règles et de configurer des alertes hors bande sur les envois inhabituels, comme les transferts de masse5.

Le troisième est le contrôle du domaine d'expédition. MITRE recommande SPF pour vérifier le domaine de l'expéditeur et DKIM pour l'intégrité des messages, et note qu'une politique comme DMARC aide les destinataires à filtrer de la même manière2. Le NCSC précise que DMARC empêche des fraudeurs d'usurper votre domaine, et que si l'expéditeur a une politique DMARC de quarantaine ou de rejet, le destinataire doit l'appliquer quand la validation échoue1. MITRE reconnaît d'ailleurs que le courriel interne piégé est difficile à bloquer par des contrôles préventifs, car il repose sur l'abus de fonctions normales3.

4AutopsiesCas réels1 min

28 janvier 2021 : la campagne NOBELIUM, premières vagues

Microsoft suit depuis janvier 2021 une campagne de courriels malveillants menée par NOBELIUM, l'acteur derrière les attaques contre SolarWinds7. Elle débute le 28 janvier 2021 : l'acteur envoie d'abord la seule partie de suivi du message, pour repérer les cibles qui cliquent, sans livrer de charge malveillante7. Ce cas vise l'installation de logiciels malveillants et non un paiement. Il montre pourtant la méthode : tester, observer qui réagit, adapter7.

25 mai 2021 : un expéditeur de confiance imité à grande échelle

Le 25 mai 2021, NOBELIUM utilise le service légitime d'envoi en masse Constant Contact pour se faire passer pour une organisation américaine de développement7. Il cible environ 3 000 comptes dans plus de 150 organisations7. Dans un exemple, le courriel paraît venir de USAID, avec une adresse d'envoi authentique terminant par @in.constantcontact.com et une adresse de réponse en usaid.gov7. Le lien mène d'abord au service légitime, puis vers l'infrastructure de l'attaquant, qui livre un fichier ISO malveillant7.

Les systèmes automatiques ont bloqué la plupart des courriels et les ont classés comme spam, mais certains des premiers messages ont pu être livrés7. Microsoft recommande l'authentification multifacteur pour limiter l'effet d'identifiants compromis7.

Fiche

Identifiant
CP-017
Aile
1. Attaques et techniques
Compétence Brain
Détecter le phishing (detect_phishing)
Réflexe Brain
cr-007
Schéma
G1 · Chaîne d'attaque (Kill Chain)
Langues
de, en, fr
Sources
7 sources vérifiées le 3 novembre 2026
Sources7 sources
  1. NCSC (Royaume-Uni), « Phishing attacks: defending your organisation », 5 février 2018. https://www.ncsc.gov.uk/guidance/phishing (consulté le 3 novembre 2026)
  2. MITRE ATT&CK, « Phishing, Technique T1566 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/ (consulté le 3 novembre 2026)
  3. MITRE ATT&CK, « Internal Spearphishing, Technique T1534 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1534/ (consulté le 3 novembre 2026)
  4. CISA, « Recognize and Report Phishing | CISA ». https://www.cisa.gov/secure-our-world/recognize-and-report-phishing (consulté le 3 novembre 2026)
  5. MITRE ATT&CK, « Email Collection: Email Forwarding Rule, Sub-technique T1114.003 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1114/003/ (consulté le 3 novembre 2026)
  6. MITRE ATT&CK, « Phishing: Spearphishing Link, Sub-technique T1566.002 - Enterprise | MITRE ATT&CK® ». https://attack.mitre.org/techniques/T1566/002/ (consulté le 3 novembre 2026)
  7. Microsoft, « New sophisticated email-based attack from NOBELIUM | Microsoft Security Blog », 27 mai 2021. https://www.microsoft.com/en-us/security/blog/2021/05/27/new-sophisticated-email-based-attack-from-nobelium/ (consulté le 3 novembre 2026)

Citer cet article

Brain, « La compromission de boîte professionnelle (BEC) », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/

BibTeX 
@misc{brain_cp017_fr_2026,
  author = {Brain},
  title = {La compromission de boîte professionnelle (BEC)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/fr/articles/compromission-messagerie-professionnelle-bec/},
  note = {CC BY 4.0}
}
Licence CC BY 4.0