Guides pas à pas
Que faire après chaque alerte Ojava : ce qui s’est passé, la gravité, les étapes exactes dans Microsoft 365, Google Workspace ou Windows, et quand appeler votre prestataire informatique.
La protection e-mail de votre domaine s’est affaiblie
L’enregistrement SPF ou DMARC de votre domaine e-mail a été supprimé ou affaibli. Ces enregistrements indiquent aux autres serveurs quels e-mails viennent vraiment de vous ; sans eux, n’importe qui peut envoyer des e-mails qui semblent venir de vous (fausses factures, coordonnées bancaires modifiées).
Microsoft 365 · Google Workspace
Connexions depuis deux lieux trop éloignés
Le même compte s’est connecté depuis deux lieux impossibles à relier dans ce délai. En général, quelqu’un d’autre a le mot de passe.
Microsoft 365 · Google Workspace
Échecs répétés de la validation en deux étapes
Quelqu’un a saisi le bon mot de passe mais a échoué plusieurs fois à la seconde étape. Le mot de passe est probablement connu d’un attaquant ; seule la seconde étape l’a arrêté.
Microsoft 365 · Google Workspace
E-mails transférés hors de l’entreprise
Une règle ou un réglage envoie désormais les e-mails de cette personne vers une adresse externe. Les attaquants font cela pour lire les factures et paiements et répondre à sa place.
Microsoft 365 · Google Workspace
Droits d’administrateur accordés
Quelqu’un a reçu un rôle d’administrateur. Avec lui, il peut tout modifier dans votre Microsoft 365 ou Google Workspace, y compris les mots de passe des autres.
Microsoft 365 · Google Workspace
Une application a reçu l’accès aux e-mails ou fichiers
Quelqu’un a autorisé une application externe à lire ou envoyer des e-mails, ou à lire des fichiers. Les applications malveillantes s’en servent pour tout copier sans mot de passe.
Microsoft 365 · Google Workspace
Quelqu’un essaie de deviner un mot de passe
De nombreux mauvais mots de passe ont été essayés sur un compte en peu de temps. Tant que la validation en deux étapes est active, le compte est en général protégé ; un mot de passe faible ou réutilisé rend la chose urgente.
Microsoft 365 · Google Workspace
Nombreux fichiers téléchargés d’un coup
Un compte a téléchargé un nombre inhabituel de fichiers en peu de temps. Cela peut être légitime (un nouvel ordinateur) ou quelqu’un qui copie vos données.
Microsoft 365 · Google Workspace
Une nouvelle méthode de validation a été ajoutée
Un téléphone, une app ou une clé a été ajouté à la validation en deux étapes d’un compte. Normal quand quelqu’un configure un nouveau téléphone ; dangereux si c’est une autre personne, ou juste après une connexion depuis un nouveau pays : un attaquant garde ainsi l’accès.
Microsoft 365 · Google Workspace
Quelqu’un a reçu l’accès à une boîte mail
Une personne (ou une adresse externe) peut maintenant ouvrir la boîte d’une autre ou envoyer en son nom. Les assistants en ont besoin ; les attaquants s’en servent pour lire et envoyer sans être vus.
Microsoft 365 · Google Workspace
Une règle cache des e-mails
Une règle supprime, marque comme lus ou déplace des messages vers un dossier que personne n’ouvre. Les attaquants cachent ainsi les réponses des clients ou les alertes de la banque.
Microsoft 365 · Google Workspace
Nombreux fichiers partagés hors de l’entreprise
Une personne a partagé de nombreux fichiers avec des adresses externes ou les a rendus publics en une heure. Cela peut être un projet, ou quelqu’un qui emporte vos données.
Microsoft 365 · Google Workspace
Une session de connexion volée
Le compte a été utilisé depuis un serveur loué ou depuis deux pays dans la même session. Les sites de phishing copient la session après la connexion, ce qui contourne aussi la validation en deux étapes.
Microsoft 365 · Google Workspace
Un compte est en train d’être pris
Plusieurs signes se suivent : une connexion depuis un nouveau pays puis une nouvelle méthode de validation, une règle de messagerie, un accès à une boîte ou un partage massif. C’est ainsi que les attaquants sécurisent un compte volé avant de s’en servir pour frauder.
Microsoft 365 · Google Workspace
Connexion depuis un pays inhabituel
Quelqu’un s’est connecté depuis un pays d’où votre équipe ne se connecte pas d’habitude. Souvent un voyage ; parfois un mot de passe volé. En voyage ? Utilisez « Je suis en voyage » dans Ojava pour baisser la priorité de ces connexions.
Microsoft 365 · Google Workspace
Tentatives de mot de passe sur un PC
De nombreux mauvais mots de passe Windows ont été essayés sur ce PC. Quelqu’un au clavier, ou un programme sur le réseau, essaie d’entrer.
PC Windows
Un outil Windows a servi à télécharger ou exécuter du code
Un outil intégré à Windows (PowerShell ou autre) a téléchargé ou exécuté du code d’une manière typique des attaques. Cela suit souvent une pièce jointe ou un lien malveillant.
PC Windows
Windows Defender désactivé
La protection antivirus du PC est désactivée. Les attaquants la coupent en premier ; parfois un autre antivirus ou un réglage l’a fait.
PC Windows
Pare-feu Windows désactivé
Le pare-feu du PC est désactivé : les programmes du réseau peuvent l’atteindre directement.
PC Windows
Un programme réglé pour démarrer tout seul
Une nouvelle entrée de démarrage, tâche planifiée ou service a été créé. Les installations le font aussi ; les attaquants s’en servent pour revenir après un redémarrage.
PC Windows
Activité de type rançongiciel
De nombreux fichiers ont été modifiés, renommés ou supprimés très vite, des sauvegardes ont été supprimées, ou un fichier leurre caché placé par Ojava a été modifié. C’est ainsi qu’un rançongiciel chiffre les fichiers avant de demander de l’argent.
PC Windows
Un programme ou une connexion malveillants connus
Un programme connu pour servir aux attaques s’est lancé, ou le PC s’est connecté à une adresse utilisée par des attaquants.
PC Windows
Stockage USB branché
Une clé ou un disque USB a été branché. En général sans danger ; cela peut introduire un logiciel malveillant ou emporter des données.
PC Windows
Un outil a tenté de voler les mots de passe Windows
Un programme a lu la partie de Windows qui contient les mots de passe. Les attaquants le font pour passer d’un PC aux autres.
PC Windows
Journalisation de sécurité désactivée
Les enregistrements de sécurité de Windows ont été désactivés ou effacés, parfois suivis d’une sortie de données. Les attaquants effacent ainsi leurs traces.
PC Windows
Quelqu’un en interne emporte peut-être des données
Ojava a vu une combinaison de signes (protection coupée, stockage USB, nombreux fichiers copiés) qui correspond à quelqu’un qui emporte des données. Parlez à la personne avant de conclure.
PC Windows