Un compte email piraté envoie du spam : que faire

Ce que ça veut dire

Un attaquant s'est connecté à l'une de vos boîtes mail, en général avec un mot de passe volé ou deviné, et s'en sert pour envoyer du spam ou du phishing. Signes typiques :

• Des centaines de messages d'erreur pour des emails que vous n'avez jamais envoyés.
• Des contacts qui vous disent avoir reçu un email bizarre de votre part.
• Des emails inconnus dans votre dossier Envoyés, ou un dossier Envoyés étrangement vide.
• Votre fournisseur bloque vos envois, ou votre IP ou votre domaine apparaît sur une blacklist.

Pourquoi c'est important

Chaque minute compte. Le spam abîme la réputation de votre IP et de votre domaine, si bien que même vos emails normaux partent en spam. Un phishing envoyé depuis un vrai compte est aussi très convaincant pour vos contacts.

Comment corriger

1. Changez le mot de passe depuis un appareil sain, pas celui qui est peut-être infecté. Utilisez un mot de passe long et unique.
2. Activez la double authentification (2FA) avec une application ou une clé de sécurité.
3. Déconnectez toutes les sessions. Les comptes Google et Microsoft ont une option pour se déconnecter partout ; les administrateurs peuvent le faire pour les utilisateurs.
4. Supprimez ce que l'attaquant a laissé. Vérifiez attentivement :
   • les adresses de transfert et les règles de messagerie (les attaquants cachent les réponses ou transfèrent tout) ;
   • les accès délégués, les mots de passe d'application et les applications connectées que vous ne reconnaissez pas ;
   • la signature et l'adresse Reply-To.
5. Analysez l'appareil utilisé pour l'email avec un antivirus à jour.
6. Changez le même mot de passe partout où il était utilisé.
7. Débloquez l'envoi. Dans Microsoft 365, un utilisateur bloqué pour spam doit être libéré par un administrateur dans le portail Microsoft Defender (« Restricted entities »). D'autres fournisseurs peuvent vous demander de contacter le support.

Si vous gérez votre propre serveur mail

• Désactivez le compte piraté jusqu'au changement de mot de passe.
• Regardez la file d'attente sortante et supprimez le spam qui y attend, pour qu'il ne soit pas envoyé plus tard.
• Consultez les journaux pour savoir quel compte ou quel site web a envoyé le spam. Un formulaire ou un script de site web piraté est une autre cause fréquente.
• Limitez le nombre d'emails qu'un compte peut envoyer par heure.

Réparez votre réputation

1. Vérifiez les blacklists pour votre IP d'envoi et votre domaine sur /blacklists.
2. Demandez le retrait de chaque liste seulement une fois le spam arrêté. Si l'IP est partagée (Google, Microsoft, un outil de newsletter), c'est le fournisseur qui s'en charge. Une aide au retrait des blacklists est disponible dans le tableau de bord payant de Delivmail.
3. Prévenez vos contacts brièvement : dites-leur d'ignorer et de supprimer les emails bizarres, surtout ceux qui contiennent des liens ou des pièces jointes.
4. Surveillez vos rapports DMARC pendant quelques semaines pour repérer tout nouvel envoi inattendu.

Prévenez le problème

• La 2FA sur chaque boîte mail, surtout les comptes administrateurs.
• Désactivez les anciennes méthodes de connexion (authentification de base, mots de passe SMTP) que vous n'utilisez pas.
• Apprenez à votre équipe à reconnaître les fausses pages de connexion.

Vérifiez que c'est corrigé

Les messages d'erreur doivent cesser dans la journée. Envoyez un email de test depuis la page d'accueil de Delivmail : la section blacklists doit être propre, et le SPF, le DKIM et le DMARC doivent passer. Si une inscription persiste, vérifiez à nouveau quelques jours après votre demande de retrait.