Votre messagerie M365 n'est pas aussi protégée que vous le croyez

Un directeur financier reçoit un email de son PDG. L'adresse d'expédition est correcte, le ton est familier, la demande urgente : virer 18 000 € sur un compte fournisseur avant ce soir. Il exécute. Deux jours plus tard, le vrai PDG apprend la nouvelle.

Microsoft Defender n'a rien signalé. Pas de lien malveillant, pas de pièce jointe infectée. Juste une usurpation d'identité précise — une attaque BEC (Business Email Compromise). Ce type de fraude représente aujourd'hui la menace informatique la plus coûteuse pour les PME. Et Defender, même en Business Premium, ne la voit pas venir.

Cet article explique précisément ce que Defender couvre, ce qu'il ne couvre pas, et comment combler ces angles morts sans changer votre licence Microsoft.

Ce que Microsoft Defender fait — et ce qu'il ne fait pas

Defender for Office 365 remplit correctement sa mission de base. Il filtre le spam entrant, bloque les URLs identifiées comme malveillantes, analyse les pièces jointes contre les malwares connus et offre une protection anti-phishing sur les domaines usurpés visibles.

Business Premium, à 19,10 €/user/mois, va plus loin avec Defender P1 : Safe Links vérifie les URLs au clic, Safe Attachments ouvre les pièces jointes dans un sandbox. C'est mieux que les licences inférieures. Ce n'est pas suffisant.

Ce que Defender ne couvre pas, même en Business Premium :

• Le BEC sophistiqué — les emails qui usurpent l'identité d'un dirigeant sans falsifier l'adresse, via un compte compromis ou un domaine quasi identique au vôtre.
• Le quishing — les attaques par QR code intégrés dans un email. Defender ne décode pas les images pour en extraire les URLs. Cette lacune est exploitée massivement depuis 2023.
• La compromission de compte interne — un compte M365 piraté envoie depuis votre propre domaine, SPF et DKIM valides. Defender ne lève aucune alerte.
• Les APT sur SharePoint, OneDrive et Teams — les menaces persistantes avancées qui se propagent via les fichiers partagés restent partiellement couvertes.
• L'archivage mail longue durée — Defender n'archive pas. Les emails supprimés disparaissent dans les délais standard Microsoft : 14 à 30 jours pour la corbeille.

Les 3 attaques qui passent sous le radar de Defender

Le BEC (Business Email Compromise)

Le BEC n'utilise ni lien malveillant ni pièce jointe infectée. L'attaquant imite l'identité d'un dirigeant, d'un comptable ou d'un fournisseur — parfois depuis un compte réellement compromis — et demande un virement, un changement de RIB ou un achat urgent. Defender analyse la structure technique de l'email : l'email BEC est propre, l'expéditeur apparemment légitime, le contenu sans anomalie technique.

Selon le FBI (Internet Crime Complaint Center, rapport 2023), le BEC a causé 2,9 milliards de dollars de pertes déclarées aux États-Unis sur la seule année 2023. En France, l'ANSSI et Cybermalveillance.gouv.fr documentent une forte progression des fraudes au virement impliquant M365 depuis 2022.

Le quishing

Le quishing intègre un QR code malveillant dans le corps d'un email. Le destinataire scanne le code avec son téléphone — qui n'est généralement pas protégé par Defender — et atterrit sur une page de phishing qui vole ses identifiants M365.

Defender analyse le texte et les URLs des emails. Il ne décode pas les images pour en extraire et vérifier les QR codes. Cette lacune est documentée par Hornetsecurity dans ses rapports de menaces 2023 et 2024 : le quishing représente désormais 2,1 % de toutes les attaques par email analysées.

La compromission de compte interne

Un compte M365 compromis envoie des emails depuis votre propre domaine. Ces emails passent tous les contrôles d'authentification : SPF, DKIM et DMARC sont valides puisque l'expéditeur est réellement dans votre organisation. Defender ne bloque pas ces emails — il n'a aucune raison technique de le faire. L'attaquant peut diffuser des demandes frauduleuses à vos clients et fournisseurs depuis une adresse qui leur inspire confiance.

Ce qu'apporte une couche de protection indépendante

Une couche de filtrage email indépendante s'intercale en amont du flux de messagerie M365. Elle analyse les emails avant qu'ils atteignent Defender — et continue de fonctionner même si Defender est contourné ou partiellement désactivé.

Concrètement :

• Détection comportementale du BEC : analyse des patterns de conversation, vérification de la cohérence expéditeur/contenu, détection des usurpations d'identité internes et des domaines cousins.
• Analyse des QR codes : décodage des images contenant des QR codes et vérification des URLs associées en temps réel.
• Sandbox pour pièces jointes chiffrées : ouverture des archives protégées par mot de passe dans un environnement isolé pour analyse comportementale.
• Protection SharePoint, OneDrive, Teams : analyse des fichiers partagés contre les malwares et les APT avant qu'ils se propagent dans votre organisation.
• Archivage mail longue durée : conservation indépendante de l'infrastructure Microsoft, indispensable pour les exigences NIS2 et les audits assuranciels.

Nos offres de sécurité email M365

Nos offres fonctionnent par-dessus n'importe quelle licence Microsoft — Basic, Standard ou Business Premium. Vous conservez vos licences Microsoft et vos outils. Nous ajoutons ce qu'elles ne couvrent pas.

M365 Base → 8 €/user/mois HT

Backup quotidien de l'intégralité du tenant (Exchange, OneDrive, SharePoint, Teams), administration des comptes, onboarding/offboarding et surveillance continue du Secure Score. Pour les entreprises sous Business Premium qui ont déjà une protection email acceptable mais qui manquent de backup tiers et d'administration proactive.

M365 Sécurité+ → 12 €/user/mois HT

Tout le Base, plus la couche de protection email avancée via Hornetsecurity 365 Total Protection Enterprise : anti-BEC comportemental, anti-quishing, détection des APT sur les emails entrants et sortants, protection SharePoint/OneDrive/Teams et archivage mail longue durée. Pour les entreprises sous Business Basic, Standard, ou celles sous Business Premium exposées aux attaques sophistiquées.

Pour une PME de 20 utilisateurs, M365 Sécurité+ représente 240 €/mois HT. Moins que le coût moyen d'une heure de gestion de crise après un incident BEC.

Détail complet des fonctions incluses : notre offre M365

Ces offres se combinent naturellement avec nos mesures de protection contre les ransomwares.

Demander un audit M365 gratuit →

Questions fréquentes : sécurité email Microsoft 365

Microsoft Defender suffit-il pour protéger ma messagerie M365 ?

Defender couvre le spam, le phishing standard et les pièces jointes malveillantes connues. Il ne détecte pas le BEC sophistiqué, ne scanne pas les QR codes malveillants dans les emails et ne bloque pas les comptes internes compromis. Business Premium améliore la couverture avec Defender P1, mais ces angles morts subsistent. Une couche indépendante comme Hornetsecurity est nécessaire pour les couvrir.

Qu'est-ce qu'une attaque BEC et comment s'en protéger ?

Le BEC (Business Email Compromise) usurpe l'identité d'un dirigeant ou fournisseur pour obtenir un virement ou un accès. Il n'utilise ni lien ni pièce jointe infectée, ce qui explique que Defender ne le détecte pas. La protection passe par une analyse comportementale indépendante qui repère les anomalies dans les patterns d'expédition, les domaines cousins et les incohérences de contenu — fonctions couvertes par notre offre M365 Sécurité+.

Nos offres remplacent-t-ils ma licence Microsoft 365 ?

Non. Nos offres ne remplace pas vos licences Microsoft. Vous conservez Exchange, Teams, OneDrive et tous vos outils. Nous filtrons les emails en amont et protège vos fichiers partagés, indépendamment de ce que fait Defender nativement.

Mon entreprise est sous Business Premium : ai-je besoin de M365 Sécurité+ ?

Business Premium avec Defender P1 offre une bonne protection de base. Si votre exposition aux attaques BEC est faible et que vous n'avez pas d'obligation de conformité email, M365 Base (8 €/user/mois) suffit pour le backup et l'administration. Si vous traitez des virements importants, avez des fournisseurs sensibles ou êtes soumis aux exigences NIS2, M365 Sécurité+ (12 €/user/mois) comble les angles morts que Business Premium laisse ouverts.

Combien coûte la sécurité email avancée pour une PME de 20 utilisateurs ?

Notre offre M365 Sécurité+ est à 12 €/user/mois HT. Pour 20 utilisateurs : 240 €/mois HT. Cela couvre l'anti-BEC, l'anti-quishing, la protection SharePoint/OneDrive/Teams, l'archivage mail et le backup quotidien du tenant, en plus de l'administration proactive. Aucune licence Microsoft supplémentaire n'est requise.

Votre messagerie M365 résisterait-elle à une attaque BEC ce soir ?

Un audit M365 de 30 minutes couvre la configuration Defender, l'exposition au BEC, l'état du backup, le Secure Score et les risques actifs. Résultat immédiat, sans engagement.

Demander un audit M365 gratuit →