Comment nous bloquons les e-mails usurpant l’identité du PDG avant qu’ils n’arrivent dans la boîte de réception

De faux e-mails du PDG ont tenté d’attirer nos équipes dans des groupes LINE. Deux règles de flux de messagerie Microsoft 365 les mettent en quarantaine.

Quelqu’un envoie des e-mails au personnel de LOGIQ en se faisant passer pour notre PDG. Le 12 novembre 2026, nous avons mis en place des règles de flux de messagerie dans Microsoft 365. Ce type d’e-mails est désormais mis en quarantaine avant d’atteindre la moindre boîte de réception. Voici ce qui s’est passé, ce que nous avons configuré et ce que d’autres entreprises peuvent reprendre.

Ce qui s’est passé

Les e-mails provenaient d’adresses extérieures à LOGIQ. Le nom d’affichage de l’expéditeur était celui de notre PDG, si bien qu’au premier coup d’œil, le message semblait venir de lui. La demande était toujours la même : créer un groupe sur LINE, une application de messagerie, puis renvoyer son QR code ou son lien d’invitation.

L’e-mail lui-même ne demandait ni argent ni mot de passe. C’est là toute l’astuce. Il lui suffit de vous attirer sur un canal où notre sécurité de messagerie ne voit plus la conversation. La vraie demande (généralement un paiement, l’achat de cartes cadeaux ou des fichiers confidentiels) arrive ensuite.

Pourquoi cette arnaque fonctionne

Elle s’appuie sur trois réflexes que nous avons presque tous.

• Nous lisons le nom, pas l’adresse. La plupart des applications de messagerie affichent d’abord le nom d’affichage et masquent l’adresse réelle. N’importe qui peut choisir n’importe quel nom d’affichage sur une messagerie gratuite.
• Nous disons oui au patron. Un message court et un peu pressant du PDG n’incite pas à poser de questions.
• La première demande paraît anodine. Créer un groupe de discussion semble sans conséquence. Mais dès que la conversation quitte la messagerie de l’entreprise, vos filtres, vos journaux et vos collègues ne la voient plus.

Ce que nous avons configuré

Nous avons ajouté deux règles de flux de messagerie (aussi appelées règles de transport) dans Microsoft 365. Elles s’exécutent sur le serveur, avant qu’un message n’atteigne une boîte de réception : personne n’a donc à repérer l’arnaque par lui-même.

Règle	Ce qu’elle intercepte	Ce qui se passe
Usurpation du nom d’affichage	E-mails externes à LOGIQ dont le nom d’affichage de l’expéditeur imite notre direction, en caractères latins comme japonais	Mise en quarantaine ; chaque cas est signalé à la direction
Détournement vers d’autres canaux	E-mails externes à LOGIQ qui tentent de déplacer la conversation vers une application de discussion, par exemple en demandant le QR code ou le lien d’invitation d’un groupe LINE	Mise en quarantaine

La logique de la première règle est simple. Notre direction n’envoie d’instructions que depuis des adresses @logiqlinux.com. Un e-mail externe qui utilise le nom de notre PDG est donc frauduleux par définition, et il n’y a aucune raison de le distribuer.

Les messages en quarantaine sont conservés 30 jours. Si un message légitime est bloqué par erreur, un administrateur peut le libérer.

Le facteur humain

Les filtres arrêtent la plupart des tentatives, pas toutes. Les règles s’accompagnent donc d’une politique claire, connue de tous chez LOGIQ :

• La direction ne donne d’instructions que par les canaux internes de l’entreprise, jamais depuis une adresse e-mail externe.
• LOGIQ ne demande jamais à personne de déplacer des échanges professionnels vers un groupe de discussion personnel.
• Si un message suspect passe malgré tout, ne suivez pas ses instructions. Signalez-le, et nous renforcerons les règles.

Une telle politique simplifie la décision pour le personnel. Personne n’a à juger si un message « a l’air » authentique. S’il enfreint la règle, c’est un faux.

Ce que les autres entreprises peuvent faire

Tout cela se met en place en un après-midi. Voici nos recommandations :

1. Mettez en quarantaine les e-mails externes qui utilisent le nom de vos dirigeants. Dans Microsoft 365, créez une règle de flux de messagerie : l’expéditeur est extérieur à l’organisation et le nom d’affichage du champ De contient le nom d’un dirigeant. Incluez toutes les orthographes et tous les systèmes d’écriture que vos équipes reconnaîtraient.
2. Mettez en quarantaine les tentatives de sortir la conversation de l’e-mail. Repérez les formulations qui demandent des invitations à des groupes de discussion, des QR codes ou des comptes de messagerie personnels, et limitez la règle aux expéditeurs externes.
3. Mettez en quarantaine plutôt que de supprimer. Les messages bloqués par erreur peuvent alors être libérés, et vous conservez les preuves.
4. Envoyez chaque alerte à quelqu’un qui agit. Une hausse soudaine des détections est un signal précoce que votre entreprise est ciblée.
5. Mettez par écrit la façon dont la direction communique réellement. Une seule phrase (« les instructions viennent uniquement d’adresses de l’entreprise, par les canaux internes ») donne au personnel un critère simple.
6. Activez aussi les protections intégrées. Signalez les expéditeurs externes par une mention d’avertissement et activez la protection contre l’usurpation d’identité dans votre stratégie anti-hameçonnage si votre licence l’inclut.
7. Limitez les exceptions et gardez-les secrètes. Chaque expéditeur exempté est une faille. Révisez régulièrement la liste et ne la publiez jamais.

En résumé

Usurper l’identité d’un PDG ne demande aucun piratage, seulement un nom d’affichage convaincant et un prétexte pour déplacer la conversation ailleurs. Les règles côté serveur retirent ce choix à la personne qui lit l’e-mail, et une politique claire couvre ce que les règles laissent passer.

Besoin d’aide pour configurer des règles de flux de messagerie ou évaluer la sécurité de votre messagerie ? Contactez l’équipe LOGIQ.

Photo: Anete Lusina / Pexels