# Cas typique : fuite de données après piratage de messagerie ou accès CRM Adrien Murillo — Murillo Consulting Scénario concret de fuite de données : phishing, boîte mail compromise, règles de transfert, CRM/SaaS, données clients et premières décisions de notification. Toutes les crises cyber ne commencent pas par un chiffrement. Un compte de messagerie ou de CRM compromis peut suffire à exposer des données clients, préparer une fraude au virement, envoyer des hameçonnages depuis une adresse légitime ou créer une crise de confiance difficile à contenir. Version : Mai 2026 ## À retenir - Les fuites de données massives vues en France ont rendu le risque très parlant pour les clients : l'impact n'est pas seulement technique. - Un piratage de compte se voit souvent dans les détails : règle de transfert, connexion impossible à expliquer, consentement OAuth suspect, export CRM. - La première question de crise est simple : quelles données, combien de personnes, quelle période, quelle preuve et quel risque pour les personnes concernées ? - La préparation utile combine logs M365/Entra ID, revue des applications connectées, procédure de notification et messages clients prêts à valider. ## Le point de départ : une boîte mail qui semble normale Le collaborateur a reçu un mail crédible : facture, signature électronique, relance fournisseur, notification Microsoft ou message RH. Il saisit ses identifiants sur une page copiée. L'attaquant teste immédiatement la connexion, crée parfois une règle de transfert et consulte les échanges récents pour comprendre les clients, les factures et les interlocuteurs. Dans certains cas, l'accès à la messagerie suffit. Dans d'autres, le même compte ouvre aussi un CRM, un outil de facturation, un espace support ou un SaaS métier. La crise devient alors une question de données : qui est concerné, quelles données sont sorties et comment prévenir sans dramatiser ni minimiser. - phishing ciblé - connexion M365 inhabituelle - règle de transfert externe - OAuth/consentement suspect - export CRM ou support - tentative de fraude au virement ## Pourquoi ce cas parle aux directions Les dirigeants comprennent vite ce scénario parce qu'il touche directement la relation client. Même sans arrêt d'activité, l'entreprise doit qualifier le risque, répondre aux clients, travailler avec le juridique, vérifier les obligations de notification et prouver qu'elle a repris le contrôle. Cybermalveillance.gouv.fr a signalé en 2024 plusieurs violations de données personnelles très visibles en France, avec des risques concrets d'hameçonnage, d'usurpation d'identité ou de piratage de compte. Ces cas montrent que la donnée exposée devient un carburant pour d'autres attaques. - atteinte à la confiance client - pression juridique et communication - risque de fraude post-fuite - vol ou revente de données - hameçonnage contextualisé - difficulté à prouver le périmètre exact ## Les preuves à réunir vite La priorité n'est pas d'accuser trop vite. Il faut figer une chronologie : première connexion suspecte, adresses IP, pays, appareils, règles mailbox, applications consenties, exports, suppressions, envois externes, changements MFA et tickets liés au compte. Cette collecte doit rester proportionnée. L'objectif est de décider : mot de passe réinitialisé, sessions révoquées, MFA renforcée, application OAuth retirée, clients concernés identifiés, notification préparée et surveillance post-incident enclenchée. - journaux Entra ID/M365 - règles de boîte mail - applications OAuth autorisées - exports CRM/SaaS - messages envoyés depuis le compte - liste des données potentiellement exposées ## Mesures qui réduisent vraiment le risque La sensibilisation est utile, mais elle ne suffit pas. Il faut des contrôles qui rattrapent l'erreur humaine : MFA résistante au phishing quand c'est possible, alertes sur règles de transfert, revue des applications connectées, limitation des exports massifs et journalisation conservée assez longtemps. La bonne question pour un audit découverte est : si une boîte mail stratégique est compromise aujourd'hui, saurions-nous le voir, couper l'accès, dire quelles données sont concernées et expliquer les actions prises ? - MFA sur comptes sensibles - alertes forwarding externe - revue OAuth et applications tierces - limitation exports CRM - rétention logs adaptée - runbook notification et communication ## Une messagerie compromise doit-elle toujours être déclarée ? Cela dépend des données concernées, du risque pour les personnes et du cadre applicable. Le bon réflexe est de qualifier rapidement le périmètre avec les preuves disponibles et les personnes compétentes. ## Quel contrôle simple met en évidence ce risque ? Rechercher les règles de transfert externe, les connexions inhabituelles et les applications OAuth autorisées sur les comptes sensibles. C'est souvent très révélateur. ## Sources - [Cybermalveillance.gouv.fr - tendances menace 2024](https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/rapport-activite-2024) - [Cybermalveillance.gouv.fr - baromètre TPE-PME 2025](https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/etude-maturite-cyber-tpe-pme-2025) ## Navigation - [Consultant DevOps et DevSecOps Cloud.](/profil) - [Missions d’ingénierie.](/services) - [Réalisations.](/realisations) - [Projets open source.](/projets) - [Des guides pour passer à l’action.](/ressources) - [Parlons de votre projet.](/contact) - [Du cadrage aux livrables.](/approche) - [Des contextes. Des contraintes réelles.](/secteurs) - [Apprendre en prenant des décisions.](/lab) - [Mentions légales](/mentions-legales) - [Confidentialité](/confidentialite) - [Conditions générales d’utilisation](/conditions-utilisation) - [Former vos équipes. Avec de la pratique.](/formation) [Contact](mailto:contact@adrien-murillo.com)