Mesures que Chaque Utilisateur d'Outlook Doit Prendre lors d'une Atteinte Grave à la Sécurité

Vendredi dernier, les utilisateurs d'Outlook ont commencé à recevoir des notifications de violation par e-mail de la part de Microsoft. Ce dernier leur a dit qu'un attaquant inconnu avait accédé à certaines informations de leur boîte de réception, il les informait aussi que le géant basé à Redmond s'était « engagé à fournir à ses clients de la transparence ». Si vous lisez depuis assez longtemps sur les atteintes à la sécurité des données, vous en avez probablement marre de ce type de déclarations compliquées, notamment parce qu'elles se révèlent souvent dépourvues de toute valeur ou de toute crédibilité. Mais qu'en est-il de Microsoft? Est-ce que ce dernier essaie vraiment d'être aussi transparent que possible? Nous allons examiner la situation pour découvrir ce qui s'est passé.

Les pirates informatiques avaient un accès non autorisé aux e-mails Outlook

Selon le courrier électronique, entre le 1er janvier et le 28 mars, des « personnes extérieures à Microsoft » ont réussi à infiltrer les comptes Outlook des utilisateurs et ont eu accès à des informations telles que l'adresse électronique de la victime, les adresses électroniques avec lesquelles elle communiquait, les noms de dossiers et les lignes d'objet. L’attaque est devenue possible après qu’un ensemble d’identifiants appartenant à un agent de support technique Microsoft est tombé entre de mauvaises mains. Dès qu'ils en ont été informés, les experts en sécurité de Bill Gates ont invalidé les identifiants volés et ils ont mis fin à l'attaque.

D'après les notifications, partagées sur les réseaux sociaux, les attaquants n’avaient accès à aucun courrier électronique ni pièce jointe. Bien que les références de connexion Microsoft des victimes restent intactes, les utilisateurs concernés ont été invités à changer leur mot de passe pour plus de sécurité.

Microsoft a averti les utilisateurs qu'ils pourraient constater une légère hausse des messages de phishing et de spam, mais ils n'ont pas expliqué comment ils avaient détecté l'accès non autorisé et pourquoi il leur avait fallu près de trois mois pour le faire. Aucune information n'a été fournie concernant le nombre de personnes touchées. L'argument « nous valorisons la transparence » semble un peu fragile pour le moment. La situation ne s'améliore guère quand vous voyez comment les événements se sont produits au cours du week-end.

Microsoft reste taiseux par rapport aux détails

Outlook est le successeur spirituel de Hotmail, l'un des plus anciens fournisseurs de messagerie au monde. Il compte des centaines de millions de comptes actifs et la nouvelle de la violation de certains d'entre eux ne restera jamais inaperçue. Samedi, TechCrunch a couvert l'histoire et ce dernier a demandé à Microsoft des commentaires supplémentaires. Malheureusement, les détails restaient à définir. Hormis le fait de dire qu’un nombre « limité » de personnes ont été touchées et qu’aucune d’entre elles n’est un client d'entreprise, Microsoft n’a révélé aucune autre information.

Alors que le colosse de la Silicon Valley essayait de convaincre tout le monde que ce n'est pas aussi grave que ça en a l'air, Joseph Cox de Motherboard préparait un rapport qu'il a publié le lundi. Apparemment, une source proche des responsables a pris contact avec lui, les informations présentées brossaient un tableau quelque peu différent. Par exemple, il a été informé que les pirates informatiques avaient accès aux comptes pendant six mois au lieu de trois mois et qu'au cours de l'attaque, ils ont pénétré dans certains comptes iCloud et ils ont manipulé les paramètres de sécurité des victimes. La source de Joseph Cox a également révélé que, contrairement aux affirmations contenues dans la notification, les pirates informatiques avaient en fait accès au moins une partie des courriers électroniques et des pièces jointes des cibles.

Tout naturellement, les responsables des relations publiques de Microsoft ont été invités à commenter encore une fois la situation. Ils sont restés convaincus que l'attaque n'avait pas duré plus de trois mois. Lorsqu'ils ont reçu la preuve, ils ont toutefois admis que la communication par courrier électronique d'environ 6% des victimes avait été exposée. Une fois de plus, le nombre exact d'individus touchés par cette atteinte informatique est resté inconnu.

Si cela répond à la définition de « transparence », c'est à vous de décider. En même temps, voici quelques points à considérer si vous êtes un utilisateur d'Outlook.

Ce que les utilisateurs d’Outlook devraient savoir

Comme Microsoft a présenté dans sa notification, rien n’indique pour le moment que les noms d’utilisateur et les mots de passe Outlook aient été compromis. Toutefois, vous voudrez peut-être changer votre mot de passe, particulièrement si vous êtes l'une des personnes touchées par l'attaque.

Inutile de préciser que le nouveau mot de passe que vous attribuez à votre compte Microsoft doit être à la fois complexe et unique. Il est également souhaitable de permettre une authentification à deux facteurs ou une vérification en deux étapes, comme l'appelle Microsoft. Pour ce faire, connectez-vous à votre compte Microsoft, accédez à l'onglet « Sécurité », puis appuyez sur « Plus d'options de sécurité ». Cliquez sur « Configurer la vérification en deux étapes » et suivez les étapes.

Si vous souhaitez rendre la vie des pirates informatiques plus difficile, vous pouvez créer un nouvel alias et l'utiliser à la place de votre e-mail réel lors de la connexion à votre compte. Accédez à l'onglet « Vos informations », cliquez sur « Gérer le mode de connexion à Microsoft », puis sélectionnez « Ajouter une adresse e-mail ». Cela vous permet de créer une nouvelle adresse électronique @outlook.com qui ne sera pas connue aux pirates informatiques. Sélectionnez une adresse qui n'a pas encore été prise et cliquez sur « Ajouter un alias ». Maintenant, cliquez sur « Choisir comme alias principal » pour transformer efficacement votre nouvel alias en nom d'utilisateur pour votre compte Microsoft. Enfin, sélectionnez « Modifier les préférences de connexion » et décochez la case à côté de votre ancienne adresse électronique.

Cela vous permet d'envoyer et de recevoir des courriers électroniques en utilisant l'adresse connue de tout le monde, mais personne ne pourrq l'utiliser pour vous connecter à votre compte Microsoft. Il est possible que cela vous semble un travail ardu et, pour un grand nombre d'utilisateurs, cela pourrait être excessif. Cependant, il est bon de savoir que Microsoft vous permet de le faire.

Malheureusement, la nouvelle violation d'Outlook montre que même le mécanisme de sécurité le plus robuste ne peut rivaliser avec un agent d'assistance qui perd la trace de son mot de passe. Espérons que nous n'aurons plus besoin de discuter de la compréhension de Microsoft en matière de « transparence ».