Un courriel qui prétend avoir piraté votre messagerie Hotmail (Outlook.com) et exige une rançon est, dans 99 % des cas, une arnaque. Apprenez à distinguer le faux du vrai et à verrouiller définitivement votre compte Microsoft.
Vue d’ensemble de la question
Vous venez de trouver, dans le dossier « Junk », un message expédié soi‑disant depuis votre propre adresse. L’expéditeur affirme :
- avoir pris le contrôle de votre compte Hotmail/Microsoft ;
- avoir installé le spyware gouvernemental Pegasus sur tous vos appareils ;
- publier vos photos intimes ou données bancaires sous 48 h si vous ne payez pas une rançon en bitcoins.
Ce scénario alarme même les utilisateurs avertis : comment savoir si le piratage est réel ? Quelles contre‑mesures appliquer immédiatement ?
Réponse & solution détaillée
| Étape | Action à mener | But / Explication |
|---|---|---|
| 1 | Contrôler l’activité récente Connectez‑vous à https://account.microsoft.com → Sécurité → Afficher l’activité de connexion. Repérez toute IP, appareil ou fuseau horaire inhabituel. | Confirmer ou infirmer une intrusion en comparant l’historique aux connexions légitimes (PC, smartphone, localisation, horaires). |
| 2 | Changer immédiatement le mot de passe (long, unique, aléatoire). | Coupe l’accès si le mot de passe a été compromis ou divulgué ailleurs. |
| 3 | Activer la double authentification (2FA) : Application Microsoft Authenticator (recommandé). SMS ou e‑mail de secours en alternative. | Même avec votre mot de passe, l’attaquant aurait besoin d’un second facteur. |
| 4 | Classer le courriel comme phishing / sextorsion Ne répondez pas, ne payez pas. Signalez‑le puis déplacez‑le en indésirable. | L’adresse expéditrice est usurpée ; l’attaquant n’a généralement aucun accès réel. |
| 5 | Analyser tous les appareils Lancez Windows Defender (analyse hors ligne) ou un antivirus tiers à jour. Mettez à jour OS, navigateur, Java, Adobe, etc. | Écarter tout malware et colmater les brèches logicielles. |
| 6 | Sécuriser le compte Contrôlez : adresses/numéros de récupération, appareils de confiance, règles de transfert, délégations. Désactivez IMAP/POP si inutile ; révoquez les apps tierces inconnues. | Réduire la surface d’attaque et empêcher qu’un tiers redirige vos messages. |
| 7 | Bonnes pratiques futures Sauvegardes régulières (OneDrive, disque externe). Vigilance vis‑à‑vis des liens et pièces jointes. Rester informé des campagnes de phishing. | Prévention à long terme : anticipation plutôt que réaction. |
Pourquoi cet e‑mail est‑il presque toujours une arnaque ?
Usurpation d’adresse (spoofing) : le protocole SMTP permet de forger l’en‑tête « From » aussi facilement qu’on écrit n’importe quelle signature. L’attaquant n’a pas besoin d’identifiants pour se faire passer pour vous.
Pegasus est un mouchard vendu à des gouvernements sous contrat, déployé via des exploits zéro‑day très coûteux, jamais par e‑mail de masse. L’utiliser contre un particulier pour quelques centaines d’euros serait absurde.
Vérifier l’activité de votre compte en profondeur
Dans l’onglet Afficher l’activité de connexion, Microsoft affiche :
- Date/heure (en UTC, convertissez si besoin).
- Adresse IP, région et fuseau horaire.
- Type d’appareil / navigateur.
- État : réussi ou échec.
Incohérences typiques : un Lenovo sous Windows en Chine alors que vous n’avez qu’un iPhone en France ; une connexion POP3 à 3 h du matin ; des dizaines d’échecs de mot de passe depuis le même pays. Tout indice doit vous conduire à changer le mot de passe et révoquer la session.
Renforcer la sécurité après coup
Créer un mot de passe irréductible
Utilisez un gestionnaire open‑source (Bitwarden, KeePass, etc.) ou l’option coffre‑fort de votre navigateur ; générez une phrase de 14–20 caractères aléatoires. Évitez les dates de naissance ou un simple « Motdepasse2025 ».
Migrer vers l’application Microsoft Authenticator
Elle réduit les interceptions par SIM‑swap ou le phishing de codes SMS, propose la notification « Approver / Refuser » plus rapide et fonctionne hors connexion.
Remplacer les questions secrètes
Dans Options de sécurité avancées, désactivez les questions « Nom du premier animal » : ces informations circulent sur les réseaux sociaux. Préférez l’e‑mail secondaire ou la clé de sécurité FIDO‑2.
Nettoyer et mettre à jour vos appareils
Windows Defender, analyse hors ligne : redémarre le PC dans un environnement minimal, détecte les rootkits. Sous macOS ou Linux, utilisez clamdscan ou Malwarebytes for Mac.
Sur Android, ouvrez Play Protect ; sur iOS, vérifiez que la version de l’OS est la plus récente (les iPhone jailbreakés sont plus vulnérables).
Mettez à jour le firmware du routeur : un attaquant capable de modifier les DNS redirige login.live.com vers une copie piégée.
Supprimer les vecteurs d’attaque dans Outlook.com
- Règles de boîte de réception : aucune redirection automatique vers @proton.me ou @gmail.com inconnue.
- Accès POP/IMAP : désactivez‑le si vous n’utilisez que l’interface Web ou l’app mobile.
- Applications tierces : révoquez les anciennes autorisations OAUTH (par exemple un vieil agenda Sync Mate 2014).
Mythes courants autour de Pegasus
- « Je peux l’attraper par PDF » : les exploits zero‑click de Pegasus visent iMessage ou WhatsApp sans interaction, mais Microsoft bloque les pièces jointes dangereuses côté serveur.
- « Un antivirus gratuit suffit » : ceux‑ci détectent 0 jour après divulgation, pas avant. Le vecteur Pegasus coûte > 100 000 € par cible, donc il n’est pas distribué à la chaîne.
- « Le hacker montre mon vrai mot de passe dans l’e‑mail » : il s’agit souvent d’un mot de passe ancien issu d’une fuite LinkedIn/Adobe 2012. Changez‑le et activez 2FA.
Que faire si l’activité suspecte est avérée ?
Malgré tout, vous remarquez une connexion depuis le Brésil il y a 20 minutes ? Procédez ainsi :
- Déconnectez‑vous de tous les appareils (Se déconnecter partout).
- Changez le mot de passe immédiatement.
- Activez 2FA si ce n’est déjà fait.
- Contactez le support Microsoft via
https://aka.ms/recover-accountet suivez la procédure de récupération. - Surveillez vos autres comptes (banque, réseaux sociaux) : les attaquants réutilisent les identifiants croisés.
Foire aux questions
Comment l’expéditeur a‑t‑il mon adresse ? Elle figure dans d’anciennes fuites (Adobe 2013, LinkedIn 2012…). Les bases de données se revendent au kilo sur le dark web. Dois‑je porter plainte ? En France, vous pouvez déposer une pré‑plainte en ligne (cyberharcèlement, chantage). Fournissez l’e‑mail complet, en‑têtes inclus. La plainte est rarement poursuivie, mais elle officialise le signalement. Puis‑je tracer l’IP de l’attaquant ? L’adresse IP dans l’e‑mail usurpé pointe vers un relais (Open Relay, VPS compromis). Son exploitation par les forces de l’ordre nécessite commission rogatoire. Le paiement en bitcoins me protège‑t‑il si je cède ? Non : les transactions sont pseudonymes, pas anonymes ; l’adresse peut être blacklistée. Payer alimente l’industrie et ne garantit pas que vos données seront supprimées. Une clé USB « air‑gap » est‑elle suffisante ? Utile pour les sauvegardes hors ligne, mais inefficace si vous branchez la clé sur un système déjà infecté. Combinez avec antivirus à jour et stratégies 3‑2‑1 (3 copies, 2 supports, 1 hors‑site).
Erreurs fréquentes à éviter
- Réutiliser le même mot de passe sur Netflix, Facebook et Hotmail.
- Garder les réponses aux questions secrètes dans un fichier « réponses.txt » sur le bureau.
- Désactiver l’UAC ou Windows Defender pour « accélérer » l’ordinateur.
- Laisser la session ouverte en permanence dans le navigateur public de la fac.
Conclusion
Recevoir un e‑mail de « sextorsion » prétendant que votre compte Hotmail est piraté est angoissant, mais dans la quasi‑totalité des cas, il s’agit d’une usurpation d’adresse et d’un chantage automatisé. Vérifiez l’activité du compte, changez le mot de passe, activez la double authentification et analysez vos appareils : vous neutraliserez la menace en moins de 15 minutes. En adoptant ensuite de bonnes pratiques (mises à jour, sauvegardes et vigilance), vous rendrez votre messagerie Microsoft résiliente face aux prochaines vagues de phishing.
Liens directs Microsoft
- Réinitialiser le mot de passe :
https://account.microsoft.com/password/reset - Activer la 2FA :
https://account.microsoft.com/security - Guide officiel « Compte compromis » :
https://aka.ms/recover-account
En appliquant ces mesures, vous sécurisez efficacement votre compte et éliminez le risque lié à cette tentative d’extorsion.