Règles de transfert : la fuite la plus discrète de Microsoft 365

Après la compromission d'une boîte aux lettres, l'un des premiers réflexes d'un attaquant est de créer une règle : transférer discrètement certains messages vers l'extérieur, ou masquer les réponses d'un fournisseur pour mener une fraude au virement (le fameux « changement de RIB »). Ces règles ne déclenchent aucun antivirus et peuvent rester actives des mois. Voici où elles se cachent et comment les détecter.

Trois façons de faire sortir des mails

1. Les règles de boîte de réception créées par l'utilisateur (ou par l'attaquant) dans Outlook ou Outlook sur le web : transférer à, transférer en pièce jointe, rediriger vers.
2. Le transfert au niveau de la boîte aux lettres, configuré par un administrateur ou par l'utilisateur dans les paramètres.
3. Les règles de transport (règles de flux de messagerie) au niveau de l'organisation, qui peuvent rediriger ou copier des messages.

Les détecter avec Exchange Online PowerShell

Connect-ExchangeOnline

# 1. Règles de boîte de réception qui transfèrent ou redirigent
Get-EXOMailbox -ResultSize Unlimited | ForEach-Object {
  Get-InboxRule -Mailbox $_.UserPrincipalName |
    Where-Object { $_.ForwardTo -or $_.ForwardAsAttachmentTo -or $_.RedirectTo } |
    Select-Object MailboxOwnerId, Name, Enabled, ForwardTo, RedirectTo
}

# 2. Transfert configuré sur la boîte aux lettres
Get-EXOMailbox -ResultSize Unlimited -Properties ForwardingSmtpAddress, ForwardingAddress |
  Where-Object { $_.ForwardingSmtpAddress -or $_.ForwardingAddress } |
  Select-Object UserPrincipalName, ForwardingSmtpAddress, ForwardingAddress

# 3. Règles de transport qui redirigent ou copient
Get-TransportRule | Where-Object { $_.RedirectMessageTo -or $_.BlindCopyTo } |
  Select-Object Name, State, RedirectMessageTo, BlindCopyTo

Les signes d'une règle malveillante

Une règle légitime a un nom explicite et un but clair. Les règles posées après une compromission présentent souvent ces caractéristiques :

• un nom vide ou d'un seul caractère (« . », « .. », « a ») ;
• des mots-clés financiers dans les conditions : facture, virement, RIB, paiement, invoice ;
• une action qui marque comme lu, supprime ou déplace vers un dossier que personne n'ouvre (Flux RSS, Historique des conversations, Archive) ;
• une adresse de transfert sur un domaine de messagerie grand public.

Prévenir : couper le transfert automatique externe

Le transfert automatique vers l'extérieur se contrôle dans la stratégie anti-spam sortante de Microsoft Defender pour Office 365. Vérifiez qu'aucune stratégie ne l'autorise (On) en dehors des cas justifiés :

Get-HostedOutboundSpamFilterPolicy | Select-Object Name, AutoForwardingMode

# Bloquer explicitement dans la stratégie par défaut
Set-HostedOutboundSpamFilterPolicy -Identity Default -AutoForwardingMode Off

Pour les rares besoins légitimes, créez une stratégie dédiée qui autorise le transfert pour quelques comptes nommés, plutôt que de l'ouvrir à toute l'organisation.

Surveiller : être alerté à la création

La détection a posteriori ne suffit pas : il faut savoir quand une règle apparaît. Dans le journal d'audit unifié, les opérations New-InboxRule, Set-InboxRule et UpdateInboxRules (règles créées depuis le client Outlook) ainsi que Set-Mailbox tracent ces changements. Microsoft Defender propose par ailleurs une stratégie d'alerte par défaut sur la création de règles de transfert ou de redirection : vérifiez qu'elle est active et que ses notifications arrivent à quelqu'un qui les lit.

En résumé

1. Inventorier les trois vecteurs : règles de boîte, transfert de boîte, règles de transport.
2. Examiner en priorité les règles au nom vide, aux mots-clés financiers ou qui masquent des messages.
3. Bloquer le transfert automatique externe dans la stratégie sortante, avec des exceptions nommées.
4. Alerter à chaque création ou modification de règle, et rejouer l'inventaire régulièrement.

C'est l'un des contrôles les plus rentables d'un tenant Microsoft 365 : quelques minutes de script, et l'une des fraudes les plus coûteuses pour une entreprise devient visible.