Cette invitation Outlook n’est pas une réunion : c’est une tentative de phishing
Phishing Outlook : reconnaître une invitation de calendrier frauduleuse, comprendre les fichiers ICS et réagir après une fausse connexion Microsoft 365.
Les applications répondent, les salariés travaillent et aucun écran de rançon n’apparaît. Pourtant, un compte détourné peut donner accès à des dossiers confidentiels. La disponibilité du service ne prouve pas la confidentialité des informations. Pour comprendre ce type d’incident, il faut suivre les accès aux données autant que l’état des machines.
En résumé
- Une violation de confidentialité peut se produire sans interruption visible du service.
- L’opération REACTIV de l’ANSSI concerne les services de l’État ; ses enseignements ne valent pas droit d’accès au dispositif pour les entreprises.
- Un accès suspect, une consultation et une extraction confirmée sont des faits différents.
- La réponse doit rapprocher identité, applications et données, puis documenter les limites des traces disponibles.
- Les obligations de notification dépendent notamment du risque pour les personnes et doivent être évaluées avec le DPO.
Ce que rappelle l’actualité française
Dans son point de situation du 30 septembre 2026, l’ANSSI présente REACTIV, un renforcement de sa mobilisation face aux compromissions de comptes et aux violations de données affectant les services de l’État. Le document décrit une situation évolutive. Il ne faut ni extrapoler ses constats à toutes les entreprises ni présenter le dispositif comme un service de réponse ouvert à chacune. Point de situation du CERT-FR.
Pour les organisations privées, l’angle utile est opérationnel : savoir reconnaître et traiter un accès illégitime même lorsque le système reste utilisable. Une crise de confidentialité n’a pas les mêmes premiers symptômes qu’une panne ou qu’un chiffrement massif.
Exposition, consultation, exfiltration : ne pas confondre
Une information exposée est accessible dans des conditions qui ne devraient pas le permettre. Une consultation indique qu’un accès a eu lieu, selon ce que les traces permettent réellement d’établir. Une exfiltration correspond au transfert de données hors du périmètre autorisé. Ces étapes peuvent se suivre, mais l’une ne prouve pas automatiquement toutes les autres.
À l’inverse, une absence de journal ne constitue pas une preuve d’absence d’accès. Certains services conservent peu de traces, ou les rendent accessibles seulement avec une configuration particulière. Le compte rendu doit décrire cette limite au lieu de transformer l’incertitude en assurance.
| Observation | Ce qu’elle permet de dire | Ce qu’elle ne prouve pas seule |
|---|---|---|
| Connexion anormale | Un accès au compte doit être examiné. | Que tous ses documents ont été volés. |
| Téléchargement enregistré | Un fichier a fait l’objet de cette opération. | L’usage ultérieur de son contenu. |
| Dossier accessible publiquement | Une exposition existe. | L’identité de toutes les personnes qui l’ont consulté. |
| Aucune trace conservée | L’investigation est limitée. | Qu’aucune action n’a eu lieu. |
Préparer une détection centrée sur les données
Commencez par les espaces qui concentrent des informations sensibles : dossiers clients, messagerie, applications de gestion et exports métiers. Pour chacun, identifiez le propriétaire, les comptes autorisés, les opérations journalisées et la durée réelle de conservation. Cette cartographie donne un sens aux alertes.
Nous recommandons d’examiner les combinaisons inhabituelles : un compte qui se connecte dans un contexte nouveau puis réalise un export massif, une application qui reçoit soudain des droits étendus ou un partage externe créé hors processus. Chaque signal demande une qualification ; un traitement comptable mensuel peut lui aussi produire un volume important.
Le bon test est un scénario autorisé sur des données fictives. L’équipe doit retrouver qui a fait quoi, sur quelle ressource et à quel moment. Si ces questions restent sans réponse, il faut améliorer la collecte avant de promettre une surveillance exhaustive.
- QualifierDécrire le signal initial et sa fiabilité.
- ContenirLimiter les accès concernés sans perdre les preuves utiles.
- DélimiterIdentifier les données, les comptes et la période.
- DéciderCoordonner les actions techniques, métier et de communication.
Organiser les premières actions sans attendre la certitude totale
Désignez une personne qui coordonne les décisions et maintient une chronologie. Le confinement doit être proportionné : retirer un partage public, protéger un compte ou suspendre une application peut répondre à des situations différentes. Les équipes habilitées arbitrent la conservation des preuves et la réduction de l’exposition.
Conservez les journaux avec leur période, leur origine et leur fuseau horaire. Travaillez sur des copies et limitez l’accès aux éléments sensibles. Une investigation ne doit pas elle-même multiplier la circulation des données compromises. Évitez aussi les recherches improvisées sur des services externes où des documents internes seraient téléversés.
Dans les échanges avec la direction, séparez trois rubriques : faits confirmés, hypothèses en cours et décisions prises. Cette structure aide à agir malgré l’incertitude, puis à corriger le bilan lorsque de nouveaux éléments apparaissent.
Données personnelles : évaluer les notifications
La CNIL rappelle que les violations de données personnelles doivent être documentées. Une notification à l’autorité est nécessaire lorsqu’elles présentent un risque pour les droits et libertés ; elle intervient si possible dans les 72 heures suivant la prise de connaissance. Un risque élevé peut également imposer d’informer les personnes concernées, sous réserve des exceptions applicables. Consulter les modalités de la CNIL.
Associez le DPO et les responsables juridiques à cette analyse. Toutes les alertes ne constituent pas une violation à notifier, et toutes les violations n’ont pas le même niveau de risque. Ne retardez pas l’examen des obligations jusqu’à la fin d’une expertise complète. Les contrats et réglementations sectorielles peuvent ajouter d’autres exigences ; elles doivent être identifiées pour votre activité.
À quoi ressemble une clôture sérieuse ?
Le dossier final doit relier les accès retirés aux causes de l’incident, décrire les données concernées et expliciter les limites de l’enquête. La reprise ne signifie pas seulement que les salariés peuvent se connecter : elle implique que les autorisations et les moyens de surveillance sont à nouveau maîtrisés.
Organisez un retour d’expérience avec quelques responsables identifiés et des échéances vérifiables. Réduire un partage excessif, améliorer un journal manquant ou revoir une permission d’application vaut davantage qu’une longue liste de recommandations sans propriétaire. Le contrôle suivant doit démontrer que la correction fonctionne, avec un test adapté et des données fictives.
Sources et références
Sources consultées le 19 octobre 2026. Les schémas et grilles de préparation sont des propositions pédagogiques de Kenawek, à adapter au contexte de l’organisation.
Préparer vos contrôles avec Kenawek
Pour cadrer un audit, améliorer la surveillance ou préparer votre organisation, parlons de votre projet. En cas d’incident urgent, les clients sous contrat utilisent leur procédure dédiée.