Règles de boîte et transferts Exchange Online : la persistance préférée des fraudes au virement
Dans une fraude au virement, la boîte aux lettres compromise est le poste d'observation de l'attaquant. Quelques règles et un transfert suffisent à lire les échanges et à cacher les réponses à la victime. Ces mécanismes se détectent — à condition de savoir où regarder.
Le scénario classique
Un collaborateur saisit ses identifiants sur une fausse page de connexion. L'attaquant se connecte, lit les échanges en cours avec les fournisseurs, puis prépare une fausse demande de changement de coordonnées bancaires. Pour ne pas être découvert, il a besoin de deux choses : voir passer les réponses, et empêcher la victime de les voir. Les règles de boîte aux lettres et les transferts lui offrent les deux.
Les mécanismes détournés
- Les règles de boîte de réception : déplacer vers un dossier que personne n'ouvre (Flux RSS, Historique des conversations) ou supprimer tout message contenant « facture », « virement » ou le nom du fournisseur.
- Le transfert SMTP de la boîte (
ForwardingSmtpAddress) vers une adresse externe, que l'utilisateur peut configurer lui-même. - Les règles de flux de messagerie (règles de transport), si le compte compromis dispose de droits d'administration Exchange.
- Les applications OAuth auxquelles l'utilisateur a consenti un accès à sa messagerie, et qui continuent de la lire après un changement de mot de passe.
Bloquer le transfert externe
La stratégie de filtrage du courrier indésirable sortant contrôle le transfert automatique vers l'extérieur. Son réglage par défaut, contrôlé par le système, bloque aujourd'hui le transfert externe automatique ; le risque vient des stratégies personnalisées qui l'ont réactivé « pour un besoin » et s'appliquent parfois bien au-delà. Les domaines distants et les règles de transport peuvent eux aussi autoriser des transferts : il faut contrôler les trois niveaux.
Un besoin légitime de transfert se traite par une exception nominative et documentée, pas par une stratégie ouverte à toute l'organisation.
Détecter ce qui existe déjà
Quelques commandes Exchange Online PowerShell suffisent à faire l'inventaire :
Get-Mailbox -ResultSize Unlimited |
Where-Object { $_.ForwardingSmtpAddress -or $_.ForwardingAddress } |
Select-Object UserPrincipalName, ForwardingSmtpAddress, ForwardingAddress, DeliverToMailboxAndForward
Get-InboxRule -Mailbox utilisateur@contoso.com |
Select-Object Name, Enabled, MoveToFolder, DeleteMessage, ForwardTo, RedirectTo, SubjectOrBodyContainsWords
Les signaux d'alerte : une règle au nom d'un seul caractère, un déplacement vers Flux RSS, une suppression conditionnée à des mots financiers, une redirection vers une messagerie grand public.
Après un incident
Changer le mot de passe ne suffit pas. La remédiation complète révoque les sessions actives, supprime les règles et transferts créés par l'attaquant, retire les consentements OAuth suspects, contrôle les méthodes MFA ajoutées au compte, puis recherche dans le journal d'audit unifié les autres boîtes consultées depuis les mêmes adresses IP. L'audit des boîtes aux lettres, activé par défaut, permet de reconstituer ce qui a été lu.
Ce qu'un audit vérifie
- Les stratégies de courrier sortant et leur réglage de transfert automatique.
- Les boîtes disposant d'un transfert SMTP actif.
- Les règles de transport qui redirigent ou copient vers l'extérieur.
- Les applications disposant de permissions sur la messagerie.