Boîtes aux lettres partagées : bloquez la connexion de leur compte utilisateur
On pense souvent qu'une boîte aux lettres partagée n'est qu'un conteneur de messages consulté par délégation. En réalité, Exchange Online crée derrière elle un véritable compte utilisateur dans Entra ID. Tant que sa connexion n'est pas bloquée, ce compte peut s'authentifier comme n'importe quel collaborateur.
Un compte utilisateur caché derrière chaque boîte partagée
Lorsqu'on crée une boîte partagée, Exchange Online provisionne un objet utilisateur dans Entra ID, avec un UPN et un mot de passe généré. Personne n'est censé l'utiliser directement : les collaborateurs y accèdent grâce aux autorisations Accès total, Envoyer en tant que ou Envoyer de la part de, avec leur propre identité.
Le cas le plus fréquent reste pourtant la conversion d'une boîte utilisateur : le départ d'un collaborateur, une adresse « contact@ » qui avait été créée comme compte nominatif. Le compte d'origine conserve alors son mot de passe, parfois connu de plusieurs personnes, parfois réutilisé ailleurs.
Pourquoi un compte actif est une cible
Un compte de boîte partagée resté actif cumule plusieurs faiblesses :
- il n'a pas de propriétaire identifié, donc personne ne remarque une connexion inhabituelle ;
- il est souvent exclu des campagnes d'enregistrement MFA, puisque « ce n'est pas un vrai utilisateur » ;
- il échappe parfois aux stratégies d'accès conditionnel ciblant des groupes d'utilisateurs licenciés ;
- son adresse est publique (facturation, support, recrutement), ce qui en fait une cible idéale pour la pulvérisation de mots de passe.
Un attaquant qui s'en empare peut lire des échanges sensibles, envoyer des messages crédibles depuis une adresse de confiance et, selon la configuration, accéder à d'autres ressources Microsoft 365.
Bloquer la connexion sans casser l'accès délégué
Bloquer la connexion (attribut accountEnabled à false) n'affecte pas l'accès délégué : les utilisateurs autorisés continuent d'ouvrir la boîte avec leurs propres identifiants. C'est d'ailleurs la recommandation de Microsoft. Le blocage se fait depuis le centre d'administration Microsoft 365 ou via Microsoft Graph PowerShell.
$shared = Get-EXOMailbox -RecipientTypeDetails SharedMailbox -ResultSize Unlimited
foreach ($mbx in $shared) {
$u = Get-MgUser -UserId $mbx.ExternalDirectoryObjectId -Property AccountEnabled,UserPrincipalName
if ($u.AccountEnabled) { $u.UserPrincipalName }
}
Ce script liste les boîtes partagées dont le compte est encore actif. Une fois la liste validée, Update-MgUser -AccountEnabled:$false suffit pour chacune.
La question des licences, à traiter avec prudence
Une boîte partagée ne nécessite en général pas de licence tant qu'elle reste sous un certain seuil de taille et n'utilise pas de fonctions comme l'archivage en ligne ou la conservation pour litige. Les conditions exactes évoluent et dépendent de votre contrat : vérifiez-les dans la documentation Microsoft en vigueur. Retenez surtout qu'une licence attribuée ne justifie jamais de laisser la connexion ouverte.
Attention aux usages détournés. Si une application ou un copieur se connecte avec le compte d'une boîte partagée pour envoyer des e-mails, le blocage le cassera. Identifiez ces usages dans les journaux de connexion et migrez-les vers une solution dédiée avant d'agir.
Ce qu'un audit vérifie
- les boîtes partagées dont le compte est encore autorisé à se connecter ;
- les connexions réussies récentes sur ces comptes ;
- les comptes issus d'une conversion dont le mot de passe n'a jamais été changé ;
- les délégations Accès total et Envoyer en tant que accordées à des comptes inactifs ou externes.