Comment savoir si votre serveur de messagerie Exchange est piraté

Vous pouvez changer toutes les serrures de la maison. Si quelqu'un a fabriqué un double de la clé maîtresse avant votre passage chez le serrurier, il continuera d'entrer. Sans bruit, sans effraction.

C'est ce qui arrive en ce moment aux entreprises équipées d'un serveur de messagerie Microsoft Exchange. Une faille de sécurité notée 10 sur 10, le maximum de l'échelle, est activement exploitée par un groupe de pirates lié aux services de renseignement russes. Leur méthode : voler les clés qui permettent de fabriquer des accès valides, pour revenir même après un grand nettoyage.

Cet article explique ce qui se passe, comment vérifier si votre messagerie est concernée, et ce qu'il faut demander à votre prestataire informatique. Posément : l'été, quand l'activité ralentit, est le bon moment pour faire ce tour du propriétaire.

Que se passe-t-il exactement sur les serveurs Exchange ?

Exchange est le serveur de messagerie de Microsoft. Beaucoup d'entreprises l'utilisent encore « sur site » : la machine est dans leurs locaux ou chez leur hébergeur, et c'est à elles, ou à leur prestataire, de l'entretenir.

En juillet, une faille critique a été révélée dans ce logiciel. Sa note de gravité : 10 sur 10 sur l'échelle de référence du secteur. C'est rare. Et elle n'est pas théorique : des attaques réelles sont documentées, attribuées à un groupe lié au Kremlin, connu pour viser des entreprises et des administrations occidentales.

Ce qui rend cette faille singulière, ce n'est pas l'entrée. C'est ce que les pirates font une fois entrés : ils récupèrent les certificats et les clés de chiffrement du serveur. Ces éléments servent normalement à prouver qu'une connexion est légitime. Avec eux, un pirate peut fabriquer des accès parfaitement valides, indiscernables de ceux de vos salariés.

Autrement dit : il ne crochète plus la serrure. Il possède un double.

Pourquoi changer les mots de passe ne suffit pas

Le réflexe habituel après une intrusion : changer tous les mots de passe. C'est utile, mais ici insuffisant.

Un mot de passe, c'est la clé d'une porte. Les certificats et les clés de signature du serveur, c'est le passe-partout du bâtiment. Tant qu'il n'a pas été révoqué et remplacé, le pirate fabrique de nouvelles clés à volonté, quels que soient les mots de passe en vigueur.

Même la solution radicale, réinstaller le serveur à neuf, ne règle rien si l'on restaure ensuite les mêmes certificats, ou si l'on reconnecte le serveur au même environnement sans avoir renouvelé ces secrets. C'est changer la porte en gardant la serrure.

Un nettoyage sérieux comprend trois volets, dans cet ordre :

1. Appliquer le correctif publié par Microsoft, pour fermer la porte d'entrée.
2. Rechercher des traces d'intrusion antérieures au correctif : un correctif empêche d'entrer, il ne fait pas sortir ceux qui sont déjà là.
3. Révoquer et regénérer les certificats, clés et jetons du serveur, puis changer les mots de passe.

Sauter l'étape 2 ou 3, c'est repeindre les murs d'une maison encore occupée.

Comment savoir si votre entreprise est concernée

Trois cas de figure.

Votre messagerie est entièrement dans le cloud (Microsoft 365, Google Workspace) : vous n'avez pas de serveur Exchange à entretenir vous-même, cette faille ne vous vise pas directement. Profitez-en pour vérifier autre chose : qui a un accès administrateur à votre messagerie, et depuis quand.

Vous avez un serveur Exchange sur site ou hébergé : vous êtes dans la cible. La question n'est pas de savoir si des pirates ont examiné votre serveur, mais quand. Les serveurs Exchange visibles sur Internet sont repérés par des outils automatiques en quelques heures.

Vous êtes en configuration hybride (un serveur local relié à Microsoft 365) : c'est le cas le plus délicat. Une compromission du serveur local peut ouvrir l'accès au cloud. Le nettoyage doit couvrir les deux.

Si vous ne savez pas dans quel cas vous êtes : c'est déjà une information. Cela veut dire que la réponse est chez votre prestataire, et qu'il est temps de la lui demander.

Les 3 questions à poser à votre prestataire informatique

Pas besoin d'être technique. Trois questions, et des réponses écrites, avec des dates.

1. « Le correctif de juillet a-t-il été appliqué sur notre serveur Exchange, et à quelle date ? » Une réponse vague ne suffit pas. Un serveur à jour, cela se prouve : version installée, date d'application.

2. « Avez-vous cherché des traces d'intrusion antérieures au correctif ? » C'est la question que presque personne ne pose. Corriger la faille ne dit rien de ce qui s'est passé avant. Un examen des journaux du serveur (connexions, comptes créés, règles de messagerie ajoutées) permet de le savoir.

3. « Quels certificats et quelles clés ont été renouvelés depuis ? » Si la réponse est « aucun », vous savez maintenant pourquoi c'est un problème.

Un prestataire sérieux répondra volontiers à ces trois questions. Un silence prolongé ou une réponse agacée sont aussi des réponses.

Un exemple concret : ce que coûte une messagerie occupée

Prenons un scénario type, observé régulièrement dans les dossiers de fraude au virement.

Une entreprise de négoce, 35 salariés. Un pirate accède à la messagerie de la comptable en avril. Il ne casse rien : il lit. Pendant six semaines, il observe les échanges avec les fournisseurs, les montants, les habitudes.

Mi-juin, la comptable reçoit un courriel d'un fournisseur habituel : changement de coordonnées bancaires. Le ton est juste, le calendrier plausible, la signature exacte. Et pour cause : celui qui l'a écrit lit leurs échanges depuis six semaines. La facture suivante, 47 000 euros, part vers le mauvais compte. Le vrai fournisseur s'étonne un mois plus tard. Ajoutez une dizaine de jours d'investigation et de nettoyage, des relations commerciales à recoudre : le coût réel dépasse souvent le double du montant détourné.

Ce type de fraude, la compromission de messagerie d'entreprise, a représenté 2,9 milliards de dollars de pertes déclarées au FBI pour la seule année 2023. Ce n'est pas un risque exotique : c'est le cambriolage sans effraction le plus rentable qui existe.

La faille Exchange actuelle donne précisément ce type d'accès : durable, discret, le double des clés en poche.

La check-list d'été pour une rentrée qui ferme à clé

L'activité ralentit, les urgences se font rares : c'est le moment de faire le tour de la maison numérique. Une heure avec votre prestataire suffit pour dérouler ceci :

• Localiser la messagerie : cloud, serveur sur site, hybride ? Le noter quelque part.
• Vérifier les correctifs : date de la dernière mise à jour du serveur, par écrit.
• Chercher les traces : examen des journaux des derniers mois.
• Renouveler les secrets : certificats et clés d'abord, mots de passe ensuite.
• Compter les trousseaux : qui a un accès administrateur ? Des comptes d'anciens salariés ou de prestataires passés circulent-ils encore ?
• Tester une restauration : une sauvegarde jamais restaurée est une hypothèse, pas une sauvegarde.

Rien qui justifie d'écourter des vacances. Mais tout est plus simple à faire en août, au calme, qu'en octobre, sous pression.

---

Changer les serrures reste une bonne idée. La vraie sécurité, c'est de savoir qui détient les clés, et de pouvoir toutes les remplacer le jour où l'une d'elles circule.

Si vous préférez faire ce tour de la maison accompagné, nous proposons un point messagerie et sécurité, sans engagement : prendre rendez-vous. Vous repartirez au minimum avec les réponses aux trois questions ci-dessus. Et, on l'espère, avec un trousseau complet.