Un pirate a consulté votre messagerie ? Ce guide concret explique comment couper court à une exportation de boîte aux lettres (PST/MBOX, POP/IMAP, API), sécuriser votre compte et limiter les dégâts — sur Gmail, Outlook.com, Yahoo, iCloud, Microsoft 365 et Google Workspace.
Vue d’ensemble de la question
Lorsqu’un compte de messagerie est compromis, le risque majeur n’est pas seulement la lecture de quelques messages : c’est l’aspiration complète de la boîte (via export, POP/IMAP, clients de messagerie ou API OAuth) qui ouvre la voie à l’usurpation, l’extorsion ou la revente de données. La réalité opérationnelle est qu’il n’existe généralement pas de bouton universel « Arrêter l’export en cours ». En revanche, on peut interrompre l’accès du pirate pendant l’export en révoquant les sessions et jetons, en forçant la reconnexion et en neutralisant les canaux d’export (POP/IMAP, redirections, applications tierces). Le temps est critique : chaque minute compte.
Réponse & solutions
| Priorité | Action recommandée | Détails et conseils pratiques |
|---|---|---|
| Immédiate (minutes) | Changer le mot de passe depuis un appareil sûr | Utilisez un poste non compromis (idéalement un appareil de confiance, réseau domestique). Créez un mot de passe long, unique et aléatoire (gestionnaire recommandé). Évitez toute réutilisation. |
| Immédiate | Déconnecter toutes les sessions actives | Dans les paramètres de sécurité du fournisseur (Gmail/Google Account, Outlook/Microsoft Account, Yahoo, Apple ID), forcez la déconnexion de tous les appareils pour invalider cookies et refresh tokens. |
| Immédiate | Activer l’authentification à deux facteurs (2FA) | Privilégiez une application d’authentification ou une clé FIDO2/Passkey plutôt que le SMS. Cela empêche la reconnexion du pirate après la rotation des mots de passe. |
| Rapide (heures) | Vérifier et supprimer : règles de transfert, délégations, accès POP/IMAP, applications tierces | Supprimez : redirections sortantes, règles de boîte, délégués, mots de passe d’application, jetons OAuth, accès POP/IMAP. Révoquez toute application inconnue. |
| Rapide | Consulter le journal d’activité ou l’historique de connexion | Repérez les adresses IP, appareils, régions et heures anormales. Capturez des copies d’écran/horodatages pour le dossier d’incident. |
| Prévention continue | Mettre à jour l’OS et l’antivirus, analyser le poste infecté | Éliminez malwares et keyloggers susceptibles d’avoir volé les identifiants. Considérez une réinstallation propre si nécessaire. |
| Prévention continue | Sauvegarder localement les e‑mails importants | Créez une copie de sécurité (export client ou sauvegarde cloud) pour faire face aux suppressions malveillantes. |
| En cas d’impact | Contacter le support ou l’équipe sécurité du fournisseur | Demandez une réinitialisation d’urgence, la révocation globale des jetons et, en entreprise, la suspension temporaire des capacités d’export (eDiscovery/Content Search). |
| Légal/Pro | Modifier les mots de passe associés & surveiller le dark web | Changez les mots de passe des comptes liés (réseaux sociaux, services cloud). Activez la surveillance des fuites. En Europe, évaluez les obligations RGPD en cas de données personnelles exposées. |
Pourquoi ces actions stoppent réellement une exportation
- Révocation des sessions : elle invalide immédiatement les cookies et jetons d’API utilisés par le pirate. Les téléchargements IMAP/POP et exports via clients tombent en échec au prochain appel.
- Rotation du mot de passe + 2FA : même si le pirate connaît l’ancien mot de passe, il ne peut pas se reconnecter sans second facteur.
- Neutralisation des canaux d’export : la désactivation de POP/IMAP, la suppression des redirections et des délégués coupe les conduits silencieux d’exfiltration.
Ce que « exporter la boîte aux lettres » signifie concrètement
- Export natif : MBOX/PST ou équivalent via interface ou outil d’export.
- Synchronisation protocolaire : IMAP/POP avec un client (Thunderbird, Outlook, Apple Mail, etc.).
- API & applications tierces : accès via OAuth (scopes e‑mail, contacts, drive), sauvegardes « cloud-to-cloud », scripts, connecteurs.
- Fonctions d’e‑découverte (entreprise) : Content Search/eDiscovery (Microsoft 365), Data Export (Google Workspace).
Un pirate privilégiera ce qui est déjà en place (redirection, POP/IMAP, app connectée). Votre objectif est de couper ces tuyaux, dès maintenant.
Procédures pas à pas par fournisseur (comptes personnels)
Gmail (compte Google)
- Changer le mot de passe depuis un appareil sain puis forcer la déconnexion globale de tous les appareils.
- Activer la validation en deux étapes (application d’authentification ou Passkey/FIDO2).
- Révoquer les applications tierces : supprimez tout accès OAuth inconnu. Vérifiez les permissions liées à la messagerie (lecture/envoi/accès complet).
- Désactiver ou restreindre POP/IMAP dans les paramètres Gmail (désactivez IMAP si vous ne l’utilisez pas, supprimez les mots de passe d’application).
- Supprimer les filtres/règles qui transfèrent, marquent « lu », ou masquent des mails. Vérifiez aussi Transfert et POP/IMAP > aucune redirection non autorisée.
- Vérifier l’activité : appareils récents, connexions, adresses IP inhabituelles. Conservez les preuves (captures, heures, régions).
Indices d’export en cours : activité IMAP soutenue, nombreuses connexions depuis une même IP, quotas d’envoi/lecture inhabituels. À défaut de couper un export lancé, la révocation des sessions le fera échouer au prochain échange.
Outlook.com / Microsoft account (grand public)
- Changer le mot de passe et déconnecter toutes les sessions, y compris les sessions des apps Office et d’Outlook mobile.
- Activer la 2FA (Microsoft Authenticator recommandé).
- Contrôler les règles de boîte (inbox rules), la redirection et les délégués. Supprimer tout ajout suspect.
- Désactiver POP/IMAP si non nécessaires. Supprimer les mots de passe d’application.
- Vérifier l’activité récente : connexions, emplacement, appareil, protocole. Capturer les événements anormaux.
Yahoo Mail
- Rotation du mot de passe, déconnexion globale, 2FA activée.
- Audit des filtres, adresses de transfert, POP/IMAP, mots de passe d’application (supprimer).
- Vérification de l’activité récente et des appareils connectés.
iCloud Mail (Apple ID)
- Changer le mot de passe Apple ID, déconnecter tous les appareils (iPhone, iPad, Mac, web), activer la double authentification.
- Supprimer les mots de passe spécifiques aux apps et en régénérer seulement si nécessaire.
- Vérifier l’absence de règles de transfert et d’adresses de redirection.
Tableau d’orientation — où couper l’export selon votre fournisseur
| Fournisseur | Couper immédiatement | Paramètres à auditer | Signes d’exfiltration |
|---|---|---|---|
| Gmail | Déconnexion globale + 2FA + désactiver IMAP | Filtres/règles, redirections, POP/IMAP, apps tierces (OAuth), mots de passe d’application | Connexions IMAP nombreuses, activité « App inconnue », envoi automatique à une adresse externe |
| Outlook.com | Déconnexion globale + 2FA + bloquer POP/IMAP | Inbox rules, forwarding, délégués, POP/IMAP, mots de passe d’application | Création de règles « marquer comme lu / déplacer », envoi/lecture massifs depuis une IP unique |
| Yahoo Mail | Déconnexion globale + 2FA + supprimer mots de passe d’app | Filtres, adresses de transfert, POP/IMAP, apps liées | Accès continu via POP/IMAP, notifications d’export, mouvements de masse |
| iCloud Mail | Déconnexion de tous les appareils + 2FA + supprimer mots de passe d’app | Règles de boîte, redirections, apps spécifiques | Connexions web/réseau inhabituelles, récupération de gros volumes |
En entreprise : blocage express côté Microsoft 365 (Exchange Online)
En environnement professionnel, vous disposez de leviers supplémentaires pour casser un export en cours et prévenir les suivants :
- Revoquer immédiatement les sessions et jetons de l’utilisateur compromis via le centre d’administration (Entra / Azure AD) : « Revoke sessions ». En parallèle, réinitialiser le mot de passe et exiger la réinscription MFA.
- Bloquer temporairement la connexion du compte (si nécessaire) le temps de l’investigation.
- Désactiver IMAP/POP/MAPI/EWS pour le compte : réduisez la surface d’export aux seuls protocoles requis. Réactivez ensuite progressivement si besoin.
- Vérifier et nettoyer la boîte : règles de transport, redirections, délégués, boîtes partagées liées, connecteurs, inbox rules.
- Retirer les autorisations d’applications (Enterprise Applications/Consent), supprimer les consentements délégués à risque, et révoquer les refresh tokens au niveau locataire si exposition large.
- Limiter l’eDiscovery : retirer temporairement l’utilisateur des rôles/Groupes (« eDiscovery Manager/Administrator », « Compliance »), suspendre les exports en file si possible, et confiner l’accès au Compliance Center.
- Activer/réviser l’audit : contrôlez les événements MailItemsAccessed, Bind, création de règles et Set-Mailbox.
Astuce d’architecture : appliquez des politiques d’accès conditionnel (MFA obligatoire, blocage hors pays, risques élevés), et désactivez par défaut POP/IMAP au niveau tenant. En durcissement avancé, envisagez la sécurité matérielle (FIDO2) et l’authentification moderne uniquement.
En entreprise : blocage express côté Google Workspace
- Forcer la déconnexion des sessions au niveau Admin Console et réinitialiser le mot de passe de l’utilisateur en imposant la 2SV (2‑Step Verification) avec clé de sécurité/Passkey.
- API controls : révoquez les accès OAuth douteux, réduisez les scopes sensibles, mettez en quarantaine les apps non approuvées.
- Désactivez POP/IMAP pour l’utilisateur ou l’OU, supprimez les mots de passe d’application.
- Audit : examinez l’OAuth token audit, l’email log search, les appareils, les connexions suspectes et les redirections côté Gmail.
- Data Export (super admin) : si une exportation globale a été déclenchée, contactez immédiatement le support pour assistance d’arrêt et verrouillez l’accès super-admin (MFA obligatoire, rotation des clés).
Mesures structurelles : imposez la 2SV à tout le monde, restreignez IMAP/POP au strict nécessaire, activez DLP/retention, et utilisez des sauvegardes « cloud‑to‑cloud » avec contrôle d’accès strict.
Blocage d’export en cours : ce qui est réaliste
- Pas de « stop » universel : une exportation lancée via protocole ou API ne se « pause » pas, mais échoue dès que les jetons sont révoqués ou que le protocole est désactivé.
- Les redirections et délégations sont des tuyaux persistants : supprimez-les avant de réactiver l’accès normal.
- Surveillez les reconnexions : un pirate réessaiera. La 2FA/Passkey rend ces tentatives visibles et infructueuses.
Nettoyage des appareils et hygiène numérique
- Scanner l’appareil (antivirus à jour, analyse complète). Si doutes sérieux : sauvegarde des données puis réinstallation propre de l’OS.
- Mettre à jour OS, navigateur, plugins, clients mail.
- Révoquer les navigateurs synchronisés (profils) et régénérer les sessions sur les appareils sains.
- iOS/Android : supprimez les profils MDM inconnus et désinstallez les apps non reconnues.
- Gestion des mots de passe : auditorat des usages, rotation des comptes critiques, activation de la 2FA partout.
Sauvegarde, rétention et restauration
- Corbeilles et récupérations : utilisez les fonctions natives (récupération des éléments supprimés, corbeille) dès la sécurisation.
- Rétention : implémentez des politiques qui empêchent la purge définitive immédiate (rétention légale, holds).
- Sauvegarde tierce : mettez en place un backup indépendant et chiffré pour la messagerie, avec contrôle d’accès restreint (principe du moindre privilège).
Preuves, conformité et communication
- Conservez : adresses IP, horodatages, captures d’écran, journaux, alertes.
- RGPD : si des données personnelles ont potentiellement fuité, évaluez l’obligation de notification à l’autorité compétente et aux personnes concernées.
- Alertez vos contacts si des e‑mails sortants malveillants ont été envoyés depuis votre compte. Proposez un message type court et factuel.
Plan d’action minute par minute (exécutable)
- 00:00–00:05 : passez sur un appareil sain. Changez le mot de passe de votre messagerie.
- 00:05–00:10 : déconnectez toutes les sessions et activez la 2FA (appli d’authentification ou Passkey).
- 00:10–00:20 : supprimez redirections/règles/délégations. Désactivez POP/IMAP et supprimez les mots de passe d’app.
- 00:20–00:40 : révoquez les applications tierces. Vérifiez l’historique des connexions et consignez les preuves.
- 00:40–01:30 : analysez l’appareil, mettez à jour l’OS. Si doute sérieux, planifiez une réinstallation.
- +2 h : changez les mots de passe des comptes liés, surveillez d’éventuelles réutilisations.
- +24 h : passez en revue votre sauvegarde mail et restaurez si nécessaire.
FAQ utile
Peut‑on stopper un export Gmail/Outlook déjà lancé ?
Pas directement. Mais en révoquant les sessions et en désactivant POP/IMAP, l’export échouera à la prochaine requête. Effet quasi immédiat si vous agissez vite.
Changer le mot de passe suffit‑il ?
Non si le pirate possède déjà des jetons actifs. D’où l’importance de déconnecter toutes les sessions et d’activer la 2FA.
Dois‑je porter plainte ?
En cas de vol de données sensibles, de chantage ou de fraude, conservez les preuves et déposez plainte. En entreprise, suivez le processus interne d’incident (juridique, DPO, sécurité).
Les exports « légitimes » (sauvegardes) sont‑ils dangereux ?
Ils le deviennent si des identifiants d’outil de sauvegarde sont compromis. Sécurisez ces comptes : 2FA, moindre privilège, cloisonnement réseau, journaux, rotation de clés.
Checklist imprimable (compte personnel)
- Mot de passe changé depuis un appareil sain
- Déconnexion globale effectuée
- 2FA activée (appli/Passkey)
- POP/IMAP désactivés (si non indispensables)
- Règles, redirections, délégués supprimés
- Applications tierces et mots de passe d’app révoqués
- Journaux d’activité vérifiés et archivés
- Appareils analysés et mis à jour
- Comptes liés : mots de passe rotés
Checklist imprimable (entreprise)
- Utilisateur affecté bloqué ou mot de passe réinitialisé, sessions révoquées
- MFA forcée + Passkeys/Clés FIDO2
- IMAP/POP/EWS/MAPI désactivés si non nécessaires
- Règles/Transferts/Délégués nettoyés
- Consentements OAuth retirés, apps non approuvées bloquées
- Rôles eDiscovery/Export retirés temporairement
- Journaux audit (accès, créations de règles) analysés
- Communication interne & évaluation RGPD lancées
Bonnes pratiques durables (hardening)
- Passkeys/FIDO2 partout quand c’est possible : très forte résistance au phishing.
- Suppression définitive de POP/IMAP si vous n’en avez pas besoin.
- Gestionnaire de mots de passe et mots de passe uniques.
- Politiques anti‑consentement libre : seules les apps approuvées peuvent accéder aux mails.
- Politiques d’accès conditionnel en entreprise (localisation, posture de l’appareil, risque).
- Sauvegardes régulières et testées (restaurations).
Signaux d’alerte qu’un export a peut‑être déjà eu lieu
- Création soudaine de règles (déplacer, supprimer, transférer à une adresse externe).
- Connexion IMAP/POP continue depuis une IP unique ou inconnue.
- Alertes de connexion depuis une localisation inhabituelle.
- Augmentation du trafic sortant ou quotas atteints sans explication.
- Contacts se plaignant de spam provenant de votre adresse.
Modèle de message à vos contacts (si nécessaire)
Bonjour, mon adresse e‑mail a récemment été compromise. Si vous avez reçu un message suspect de ma part, ne cliquez sur aucun lien et supprimez‑le. Le problème est maintenant résolu ; je reste disponible si vous avez un doute sur un message.
Glossaire rapide
- 2FA/MFA : deuxième facteur d’authentification (appli, clé de sécurité, Passkey).
- OAuth : mécanisme d’accès d’applications tierces à votre messagerie sans partager le mot de passe.
- POP/IMAP : protocoles de récupération des e‑mails utilisés par les clients de messagerie.
- PST/MBOX : formats d’export de messagerie.
- eDiscovery : outils d’export et de recherche légale/archivage en entreprise.
En résumé
Vous ne pouvez pas « annuler » un export déjà lancé, mais vous pouvez le faire échouer immédiatement en révoquant les sessions, forçant la 2FA et coupant POP/IMAP/redirections. Puis, assainissez les appareils, restaurez si besoin, durcissez durablement. En entreprise, exploitez les contrôles d’admin (révocation, restriction des rôles d’export, politiques d’accès) pour ancrer la défense dans la durée.