--- id: "phishing-020" title: "Phishing interne : Que faire si l'email provient de la boîte d'un collègue ?" description: "Un email suspect provient de l'adresse légitime d'un collaborateur ? Découvrez les réflexes essentiels face à un compte piraté et au phishing interne." canonical: https://startbrain.io/fr/cybersecurite/phishing-interne-boite-mail-collegue-piratee/ slug: "phishing-interne-boite-mail-collegue-piratee" date: "2026-09-24" category: "phishing" product: "superphisher" lang: fr author: "Brain Security · R&D Cyber & Facteur Humain" frameworks: "ANSSI · NIS 2 · DORA · RGPD · ISO 27001" --- # Phishing interne : Que faire quand l'email malveillant provient de la vraie boîte d'un collègue ? Le scénario donne des sueurs froides à n'importe quel RSSI. Un matin, des dizaines de collaborateurs reçoivent un message contenant un lien de connexion ou une pièce jointe urgente. L'adresse de l'expéditeur ne comporte aucune faute de frappe, le nom de domaine correspond trait pour trait à celui de l'entreprise, et les filtres SPF, DKIM et DMARC affichent tous un statut irréprochable. Pour cause : l'attaque ne vient pas de l'extérieur, elle est envoyée depuis la boîte de messagerie légitime d'un collègue dont les identifiants ont été dérobés. Lorsqu'un pirate s'introduit dans un environnement Microsoft 365 ou Google Workspace, il ne cherche pas toujours à exfiltrer des données immédiatement. Son premier réflexe consiste souvent à orchestrer un mouvement latéral en exploitant le capital confiance accordé aux communications internes. Face à ce type d'offensive, les défenses techniques périmétriques s'avèrent impuissantes. La détection repose alors exclusivement sur la vigilance humaine et l'application immédiate de réflexes méthodiques. --- ## Comment réagir lorsqu'un email suspect est envoyé depuis l'adresse légitime d'un collaborateur interne ? > **En résumé : Ne répondez jamais directement au message pour vérifier l'authenticité de l'email. Contactez immédiatement l'émetteur présumé via un canal externe distinct (téléphone, messagerie instantanée directe) et transmettez le message malveillant à l'équipe sécurité (DSI ou RSSI) pour isoler le compte compromis.** Le premier réflexe d'une victime potentielle est souvent de cliquer sur "Répondre" pour demander : "Est-ce bien toi qui m'as envoyé ce document ?". C'est une erreur critique. Si le compte du collègue est contrôlé par un assaillant, ce dernier a accès à la boîte de réception et répondra lui-même par l'affirmative, souvent en quelques secondes, pour endormir votre méfiance. Il aura parfois même configuré des règles de redirection invisibles pour masquer vos questions. Pour casser la chaîne d'attaque, la réaction doit être double et instantanée : - **La vérification hors bande (Out-of-Band) :** Joignez la personne par un canal indépendant. Appelez son numéro de téléphone professionnel direct ou allez physiquement à son bureau si vous partagez les mêmes locaux. - **Le signalement sans délai à la sécurité :** Utilisez le bouton d'alerte phishing de votre messagerie ou transférez le message en tant que pièce jointe (format .eml ou .msg) à l'adresse dédiée de la sécurité informatique, afin de préserver l'intégrité des en-têtes techniques. --- ## Quels indices trahissent un piratage interne malgré une adresse email légitime ? > **En résumé : La détection repose sur l'analyse comportementale du message : une rupture brutale de style, des formules d'urgence inhabituelles, un appel vers un document partagé externe imprévu ou un message générique envoyé sans contexte dans un fil de discussion existant.** L'usurpation interne fonctionne sur l'abus de confiance, mais les attaquants laissent presque toujours des traces contextuelles. Le hacker qui a volé une session ne maîtrise pas nécessairement l'historique relationnel, la culture de l'entreprise ni les habitudes d'écriture de sa victime. Plusieurs signaux faibles doivent immédiatement vous alerter : - **La rupture avec le ton habituel du collègue :** Un collègue avec qui vous échangez quotidiennement sur un ton informel vous vouvoie subitement, utilise une formule de politesse empesée ou rédige un texte dans un français approximatif. - **L'urgence injustifiée et la pression émotionnelle :** Le message évoque une facture impayée critique, un blocage imminent de vos accès informatiques ou un accord de confidentialité confidentiel à signer dans l'heure. - **La demande anormale de saisie d'identifiants :** Le lien renvoie vers une fausse mire d'authentification demandant vos identifiants pour afficher un prétendu document SharePoint, OneDrive ou Google Drive. - **La reprise de fil de discussion (Thread Hijacking) :** L'attaquant réactive un vieil échange par email datant de plusieurs semaines pour y insérer son lien piégé, sans lien direct avec les derniers échanges réels. --- ## Pourquoi le phishing interne favorise-t-il la propagation latérale ? Le phishing de compte à compte constitue le levier d'escalade le plus destructeur au sein d'une organisation. Dès qu'un compte initial cède (souvent via un vol de cookie de session consécutif à une attaque adversary-in-the-middle), le pirate dispose de l'annuaire d'entreprise complet. Il peut alors identifier les postes stratégiques : comptabilité, ressources humaines, administrateurs système. En quelques minutes, il diffuse son piège en ciblant spécifiquement les personnes disposant de privilèges élevés. Comme le message provient du réseau interne, les collaborateurs appliquent un niveau de vigilance bien inférieur à celui réservé aux emails d'expéditeurs inconnus. Pour neutraliser ce risque, les organisations doivent dépasser la simple sensibilisation théorique. L'entraînement pratique face à des scénarios réalistes demeure indispensable. Avec notre simulateur [Super Phisher](/fr/catalogue/super-phisher/), déployé sur mesure avec nos équipes, vous pouvez exposer vos équipes à des contextes d'ingénierie sociale crédibles, reproduisant les mécaniques d'usurpation et de rebond interne pour ancrer les bons réflexes avant qu'une véritable intrusion ne survienne. --- ## Quelle procédure d'urgence la DSI doit-elle déclencher dès l'alerte ? Dès qu'un signalement de phishing interne remonte, chaque minute compte pour circonscrire l'incident et empêcher la compromission en cascade du système d'information : - **Révocation immédiate des sessions :** La DSI doit réinitialiser le mot de passe du compte incriminé et forcer l'expiration de l'ensemble des sessions et tokens d'authentification actifs sur tous les appareils. - **Audit des règles de boîte aux lettres :** Les pirates créent quasi systématiquement des règles de boîte masquant leurs actions (redirection automatique, suppression directe des emails entrants contenant des mots comme "sécurité", "phishing" ou "mot de passe"). Ces règles doivent être inspectées et purgées. - **Purge globale du message diffusé :** À l'aide des outils d'administration du tenant (comme le module de recherche et suppression sur Microsoft 365 ou Google Workspace), l'équipe technique doit extraire et supprimer le message malveillant de toutes les boîtes internes l'ayant reçu avant qu'il ne soit ouvert. - **Vérification des journaux de connexion :** L'analyse des adresses IP, des localisations géographiques et des signatures de navigateurs permet de retracer l'instant précis de la brèche et d'estimer l'étendue des données consultées. Protéger son entreprise contre les attaques de rebond interne demande une coordination fluide entre technologies de messagerie et réflexes humains. Pour construire un plan de cyber-entraînement sur mesure adapté à vos risques opérationnels, [parlez-nous de vos besoins](/fr/rendez-vous/) et échangez directement avec les spécialistes de Brain Security. ### Checklist de contrôle et de revue : Phishing interne : Que faire si l'email provient de la boîte d'un collègue ? | Réf. | Point de contrôle opérationnel | Attendu & vérification terrain | | --- | --- | --- | | **CTRL-01** | La vérification hors bande (Out-of-Band) | Joignez la personne par un canal indépendant. Appelez son numéro de téléphone professionnel direct ou allez physiquement à son bureau si vous… | | **CTRL-02** | La rupture avec le ton habituel du collègue | Un collègue avec qui vous échangez quotidiennement sur un ton informel vous vouvoie subitement, utilise une formule de politesse empesée ou rédige un… | | **CTRL-03** | Révocation immédiate des sessions | La DSI doit réinitialiser le mot de passe du compte incriminé et forcer l'expiration de l'ensemble des sessions et tokens d'authentification actifs… | | **CTRL-04** | Le signalement sans délai à la sécurité | Utilisez le bouton d'alerte phishing de votre messagerie ou transférez le message en tant que pièce jointe (format .eml ou .msg) à l'adresse dédiée… | | **CTRL-05** | L'urgence injustifiée et la pression émotionnelle | Le message évoque une facture impayée critique, un blocage imminent de vos accès informatiques ou un accord de confidentialité confidentiel à signer… | --- ## Aller plus loin : articles liés et solutions Brain Security ### Articles complémentaires sur ce thème - **[Télétravail, train, hôtel : Les 6 erreurs de cybersécurité en mobilité qui exposent l'entreprise](/fr/cybersecurite/securite-teletravail-wifi-public-mobilite/)** (Phishing & Ingénierie sociale) : Découvrez les réflexes indispensables de cybersécurité en mobilité : Wi-Fi public, shoulder surfing et VPN pour protéger vos collaborateurs nomades. - **[Infostealers : Pourquoi enregistrer ses mots de passe pro dans un navigateur non géré est critique](/fr/cybersecurite/infostealers-vol-identifiants-navigateur-entreprise/)** (Phishing & Ingénierie sociale) : Découvrez comment les infostealers dérobent identifiants et cookies de session dans les navigateurs non gérés pour infiltrer votre entreprise. - **[Scareware et fausses alertes navigateur : Apprendre aux salaries a reconnaitre les pieges web](/fr/cybersecurite/fatigue-notifications-navigateur-faux-antivirus/)** (Phishing & Ingénierie sociale) : Bloquez les scarewares et faux virus web. Decouvrez les techniques de ClickFix et apprenez aux salaries a securiser leur navigateur au quotidien. - **[PCI DSS v4.0 Exigence 12.6 : Renforcer la sensibilisation au phishing](/fr/cybersecurite/pci-dss-v4-exigence-12-6-formation-securite-anti-phishing/)** (Conformité (NIS 2, DORA, ISO)) : Découvrez les exigences PCI DSS v4.0 (12.6) pour la formation cyber, la lutte contre le phishing et l'ingénierie sociale avec nos conseils concrets. ### Découvrir les solutions Brain Security sur le site - **Solution associée : [Super Phisher](/fr/catalogue/super-phisher/)** : Le simulateur de phishing qui entraîne vos équipes aux attaques réelles, du faux e-mail au QR code piégé, dans un cadre maîtrisé qui ne capture jamais un mot de passe. - **[Consulter les cas d’usage par besoin et secteur](/fr/cas-d-usage/)** - **[Comparer nos formats de sensibilisation cyber et IA](/fr/comparatif/)** - **[Explorer tout le catalogue interactif Brain Security](/fr/catalogue/)** - **[Parler de vos besoins avec notre équipe (démo et accompagnement)](/fr/rendez-vous/)** --- - https://startbrain.io/fr/cybersecurite/phishing-interne-boite-mail-collegue-piratee/ - [Deutsch](https://startbrain.io/de/cybersecurity/internes-phishing-gekapertes-mitarbeiterkonto-reaktion/) - [English (UK)](https://startbrain.io/en-gb/cybersecurity/internal-phishing-compromised-colleague-email-response/) - [English (US)](https://startbrain.io/en-us/cybersecurity/internal-phishing-compromised-colleague-email-response/) - [Español](https://startbrain.io/es/cyberseguridad/phishing-interno-cuenta-correo-comprometida-empleado/) - [Italiano](https://startbrain.io/it/sicurezza-informatica/phishing-interno-email-compromessa-collega-cosa-fare/) - [Nederlands](https://startbrain.io/nl/cybersecurity/interne-phishing-gehackt-account-collega-aanpak/) - [Português](https://startbrain.io/pt/ciberseguranca/phishing-interno-email-conta-colega-seguranca/) - [日本語](https://startbrain.io/ja/cybersecurity/internal-phishing-compromised-account-ciso-response/) - [Polski](https://startbrain.io/pl/cyberbezpieczenstwo/wewnetrzny-phishing-przejete-konto-pracownika-reakcja/) - [Svenska](https://startbrain.io/sv/cybersakerhet/internt-natfiske-kapat-konto-atgarder-ciso/) - [Dansk](https://startbrain.io/da/cybersikkerhed/intern-phishing-angreb-kompromitteret-mailkonto/) - [Suomi](https://startbrain.io/fi/kyberturvallisuus/sisainen-kalastelu-kollegan-sahkoposti-tilimurto-ciso/) - [Norsk](https://startbrain.io/no/cybersikkerhet/internt-phishing-kompromittert-konto-tiltak/) - [English (Canada)](https://startbrain.io/en-ca/cybersecurity/internal-phishing-compromised-account-incident-response/) - [llms.txt](https://startbrain.io/llms.txt)