Compte email piraté : le plan d’action immédiat (et comment protéger vos OTP)

Un compte email piraté n’est pas seulement un problème de messagerie. C’est souvent la porte d’entrée vers vos mots de passe, vos comptes bancaires, vos réseaux sociaux, vos documents cloud et vos codes OTP (codes à usage unique) pour l’authentification à deux facteurs. Quand un attaquant contrôle votre boîte mail, il peut réinitialiser des mots de passe en cascade, intercepter des liens de validation, et vous enfermer dehors. Ce guide vous donne un plan d’action pratique à exécuter tout de suite, puis une stratégie durable pour réduire le risque à l’avenir, notamment avec des emails temporaires et une compartimentalisation intelligente.

Comment reconnaître qu’un compte email a été compromis

Avant même d’ouvrir votre client email, voici les signaux les plus fréquents. L’important est de les prendre au sérieux, même s’ils semblent “petits” : dans beaucoup d’incidents, les attaquants restent discrets au début pour éviter de déclencher l’alerte.

• Alertes de connexion (nouvel appareil, nouvelle localisation, tentative échouée répétée).
• Réinitialisations de mot de passe que vous n’avez pas demandées.
• Emails envoyés depuis votre compte que vous ne reconnaissez pas.
• Règles/filters nouveaux (archivage automatique, suppression, transfert vers une adresse inconnue).
• Contacts ajoutés, signatures modifiées, réponse automatique activée.
• Verrouillage : vous ne pouvez plus vous connecter, ou les options de récupération ont changé.

Étape 0 : stoppez l’hémorragie (avant de “nettoyer”)

L’erreur classique est de se précipiter sur les mots de passe sans couper les voies d’accès. Si l’attaquant a encore une session active, ou si une règle de transfert existe, vous pouvez changer dix fois votre mot de passe et vous faire reprendre immédiatement.

1) Utilisez un appareil sain

Si vous avez un doute sur votre ordinateur ou votre téléphone (pop-ups étranges, extension inconnue, antivirus “miracle”), ne faites pas vos actions sensibles dessus. Utilisez un autre appareil, ou au minimum un navigateur propre (profil vierge) et un réseau de confiance.

2) Changez le mot de passe de l’email (mais correctement)

Choisissez un mot de passe unique, long (idéalement 20–30 caractères) et généré par un gestionnaire. Évitez les variantes d’un ancien mot de passe : les attaques de type credential stuffing exploitent précisément les réutilisations.

3) Forcez la déconnexion de toutes les sessions

Dans les paramètres de sécurité de votre fournisseur (Gmail, Outlook, iCloud, etc.), cherchez l’option “Se déconnecter de tous les appareils”. L’objectif est de casser les sessions actives et de repartir sur une base propre.

4) Activez un second facteur robuste (pas seulement SMS)

Les OTP par application (TOTP) ou, mieux, les clés FIDO2 (YubiKey et équivalents) résistent bien mieux au phishing que les codes SMS. Si votre boîte mail est la clé de récupération de tout le reste, alors son 2FA doit être “au maximum”.

Étape 1 : chassez les “portes dérobées” dans votre boîte mail

Une fois l’accès repris, cherchez ce qui permettrait à l’attaquant de revenir. C’est souvent plus important que le mot de passe lui-même.

Vérifiez les règles, filtres et transferts

Les attaquants créent parfois des règles invisibles : tout mail contenant “reset”, “verification”, “OTP”, “code”, “facture” est transféré ou supprimé. Inspectez chaque filtre, règle de tri, redirection, adresse de transfert et “réponse automatique”. Supprimez tout ce que vous n’avez pas créé.

Vérifiez les applications et accès tiers (OAuth)

Même si vous changez le mot de passe, une application autorisée (via OAuth) peut conserver l’accès. Allez dans “Applications autorisées”, “Accès à votre compte”, “Connexions” et révoquez tout ce qui est inutile ou suspect. Faites-le sans pitié : vous pourrez réautoriser ensuite les outils légitimes.

Contrôlez la récupération du compte

Revoyez l’email de secours, le numéro de téléphone, les questions de sécurité, et l’adresse postale si le service en a une. Beaucoup de prises de contrôle “reviennent” via une récupération compromise.

Étape 2 : protégez vos OTP et évitez les réinitialisations en cascade

Quand l’email est compromis, la vraie bataille est souvent autour des comptes en aval. Votre priorité est de sécuriser ce qui permet de “reprendre” les autres services.

Ordre de priorité (simple et efficace)

1. Votre email principal (celui qui récupère tout).
2. Votre gestionnaire de mots de passe (ou, si vous n’en avez pas, créez-en un).
3. Votre compte Apple/Google/Microsoft (cloud, sauvegardes, appareils).
4. Vos comptes financiers (banque, paiement, crypto, commerce en ligne).
5. Vos réseaux sociaux (car ils servent souvent à arnaquer vos contacts).

Sur chaque compte critique : changez le mot de passe, activez un 2FA résistant au phishing, et vérifiez l’historique des connexions. Si un service propose “déconnexion globale”, utilisez-la.

Étape 3 : vérifiez si vous êtes victime de phishing (et comment ne pas rechuter)

Le piratage vient rarement de “magie”. Dans la majorité des cas : phishing, réutilisation de mot de passe, fuite de données sur un autre service, ou malware/extension qui vole des cookies et des identifiants.

Check-list anti-phishing (concrète)

• Ne cliquez pas sur un lien “urgent”. Tapez l’URL à la main ou utilisez un favori connu.
• Vérifiez le domaine exact (ex. micros0ft au lieu de microsoft).
• Méfiez-vous des pièces jointes inattendues, même si l’expéditeur semble “proche”.
• Utilisez un gestionnaire de mots de passe : s’il ne remplit pas automatiquement, c’est souvent un faux site.
• Activez les alertes de connexion partout où c’est possible.

Cas particulier : le spam “ciblé” après une fuite

Après une fuite de données, votre adresse email circule dans des listes. Vous recevez alors des messages très plausibles (banque, livraison, facture). Ce n’est pas un hasard : c’est l’effet “post-fuite”. L’objectif n’est pas seulement le spam, mais le clic qui mène au phishing.

Stratégie durable : compartimentaliser avec des emails temporaires

La meilleure manière de limiter l’impact d’un piratage est de réduire ce que votre adresse principale “représente”. Si votre email principal est utilisé partout (inscriptions, jeux concours, newsletters, essais gratuits), vous augmentez mécaniquement le risque : plus d’expositions, plus de fuites possibles, plus de phishing.

Le modèle simple en 4 boîtes

Vous n’avez pas besoin de 25 adresses. Voici une architecture réaliste :

• Email racine : uniquement pour la récupération des comptes majeurs et l’administratif (jamais pour des inscriptions “marketing”).
• Email quotidien : correspondance personnelle, services de confiance.
• Email public : réseaux sociaux, plateformes, e-commerce non critique.
• Email temporaire : inscriptions à risque (tests, téléchargements, webinaires, coupons, contenus gratuits, sites inconnus).

Avec ce modèle, même si un service “public” fuit, votre email racine reste isolé. Et si une inscription spamme votre adresse temporaire, vous la laissez mourir : aucun besoin de nettoyer pendant des mois.

Pourquoi un email temporaire aide aussi contre le phishing

Le phishing moderne exploite vos habitudes. Si vous recevez régulièrement des “vérifications” et des “OTP” sur une boîte utilisée pour tout, l’attaquant se fond dans le bruit. En revanche, si vous réservez votre email racine aux actions critiques, un email inattendu devient immédiatement suspect. La compartimentalisation augmente votre capacité à détecter l’anomalie.

Prévenir vos contacts (sans paniquer) et limiter l’effet domino

Quand un pirate utilise votre boîte mail, il ne cherche pas seulement vos données : il veut aussi exploiter votre crédibilité pour atteindre d’autres personnes. Une fois l’accès repris, prenez cinq minutes pour réduire ce risque. C’est souvent ce qui évite que l’incident se transforme en chaîne de fraudes.

Commencez par vérifier vos dossiers « envoyés » et « brouillons ». Si des messages suspects sont partis, informez les destinataires concernés avec une phrase simple : « Mon compte email a été compromis, ne cliquez pas sur les liens récents et ignorez toute demande urgente. » Inutile de donner des détails techniques : l’objectif est de couper le réflexe de clic.

• Si vous utilisez l’email pour le travail : prévenez votre équipe IT/sécurité et demandez un contrôle des accès (SSO, VPN, outils internes).
• Si des factures/devis ont été usurpés : contactez aussi les partenaires concernés (un faux RIB ou une fausse adresse de réponse peut circuler).
• Sur vos comptes sociaux liés à cet email : publiez une note courte si vous avez reçu des demandes anormales (ex. « je ne demande jamais d’argent par message »).

Enfin, profitez-en pour réduire l’exposition future : déplacez les inscriptions “non essentielles” vers des emails temporaires (essais gratuits, téléchargements, inscriptions à des webinaires). Moins votre email principal circule, moins il devient une cible rentable.

Après l’incident : quoi surveiller pendant 14 jours

Même si vous avez “repris” le compte, un attaquant peut tenter une rechute : récupération, SIM swap, session persistante sur un appareil, etc. Les deux premières semaines sont critiques.

• Connexions récentes (tous vos comptes critiques).
• Nouveaux appareils enregistrés / nouvelles clés 2FA.
• Nouveaux numéros / emails de récupération.
• Transactions inhabituelles (banque, e-commerce, crypto).
• Emails “de confirmation” que vous n’avez pas demandés.

Résumé : le plan d’action en 10 minutes

Si vous ne retenez qu’une chose, retenez l’ordre :

1. Appareil sain + réseau de confiance.
2. Mot de passe email unique.
3. Déconnexion globale.
4. 2FA robuste + codes de secours.
5. Suppression des règles/transferts.
6. Révocation des apps tierces.
7. Sécurisation gestionnaire de mots de passe.
8. Sécurisation Apple/Google/Microsoft.
9. Sécurisation banque/paiement.
10. Compartimentalisation + email temporaire pour le reste.