Signaler un e-mail d'hameçonnage dans Outlook : le tutoriel pas à pas

Pourquoi signaler plutôt que supprimer ?

Un salarié qui reçoit un e-mail douteux a deux réflexes possibles : le supprimer sans rien dire, ou le signaler. Le premier protège sa boîte ; le second protège aussi ses collègues. Une même campagne d'hameçonnage peut viser plusieurs personnes de l'entreprise, et celui qui la repère le premier est le mieux placé pour donner l'alerte. Microsoft le formule ainsi dans sa documentation : les entreprises doivent indiquer à leurs employés de signaler immédiatement la menace à l'équipe chargée de la sécurité.

L'ANSSI, dans son guide « La cybersécurité pour les TPE/PME en treize questions », donne les questions à se poser devant un message suspect : l'expéditeur est-il connu ? Une information de sa part est-elle attendue ? Le lien proposé est-il cohérent avec le sujet évoqué ? En cas de doute, elle recommande de vérifier l'authenticité du message par un autre canal, par exemple en appelant l'expéditeur à un numéro que l'on connaît déjà. Le même guide insiste sur un point de culture d'entreprise : la déclaration d'incidents doit être encouragée par une réponse non coercitive, pour éviter que les salariés n'osent plus rien signaler.

Outlook intègre un bouton prévu pour cela. Ce tutoriel suit la documentation officielle de Microsoft citée en fin d'article ; il concerne les comptes professionnels Microsoft 365, dont les boîtes sont hébergées dans Exchange Online. Les intitulés de l'interface évoluent régulièrement et peuvent différer légèrement : la documentation française de Microsoft nomme d'ailleurs le même bouton tantôt « Signaler », tantôt « Rapport ».

Comment Outlook aide à repérer un message suspect

Avant même de signaler, quelques indices affichés par Outlook méritent l'attention. Lorsque Outlook ne parvient pas à vérifier l'identité de l'expéditeur par les techniques d'authentification de la messagerie, il affiche un « ? » sur la photo de l'expéditeur. Microsoft précise que tous les messages qui échouent à cette vérification ne sont pas malveillants, mais qu'un « ? » qui apparaît soudain chez un correspondant habituel peut être le signe d'une usurpation d'identité.

Deuxième indice : la mention « via ». Quand l'adresse réelle d'envoi diffère de celle qui apparaît dans le champ « De », Outlook affiche l'expéditeur réel avec cette mention soulignée. Là encore, tous les messages concernés ne sont pas suspects, mais un « via » sur un message inattendu doit inciter à la prudence. Avec un compte professionnel, dans Outlook et le nouvel Outlook sur le web, il suffit de survoler le nom de l'expéditeur dans la liste des messages pour afficher son adresse, sans ouvrir le message.

Microsoft liste aussi les signes classiques d'une escroquerie : un lien dont la destination réelle ne correspond pas au texte affiché, une adresse proche d'une adresse légitime à une lettre ou un chiffre près, une demande d'informations bancaires ou personnelles, un message inattendu, une pièce jointe qui demande d'activer les macros, ou une adresse d'expéditeur qui ne correspond pas à la signature. La page Microsoft consacrée à Outlook cite enfin des scénarios fréquents : le faux remboursement, le document partagé qui exige de saisir son adresse et son mot de passe pour être ouvert, la fausse facture d'une commande jamais passée.

Signaler le message avec le bouton intégré

Selon Microsoft, le bouton de signalement intégré est disponible dans le nouvel Outlook pour Windows, dans Outlook sur le web, dans Outlook pour Microsoft 365 à partir de certaines versions (16.0.17827.15010 en Canal actuel, par exemple), dans Outlook pour Mac à partir de la version 16.89, et dans les applications Outlook pour iOS et Android récentes. Un message peut être signalé comme hameçonnage depuis n'importe quel dossier.

Ce qui se passe ensuite est utile à connaître : un message signalé comme hameçonnage est supprimé de la boîte. Il est transmis, selon les réglages de l'organisation, à une boîte aux lettres de signalement interne, à Microsoft pour analyse, ou aux deux. Selon le réglage choisi par l'administrateur, une fenêtre de confirmation peut s'afficher avant l'envoi, et un message de réussite après.

Microsoft distingue l'hameçonnage du simple courrier indésirable. Un message signalé comme indésirable est déplacé dans le dossier « Courrier indésirable », et son expéditeur est automatiquement ajouté à la liste des expéditeurs bloqués de l'utilisateur. Une publicité insistante relève du courrier indésirable ; un message qui cherche à obtenir un mot de passe, un virement ou l'ouverture d'une pièce jointe piégée relève de l'hameçonnage.

1. Dans la liste des messages, sélectionnez le message suspect, ou plusieurs messages s'il s'agit de la même campagne.
2. Au-dessus du volet de lecture, cliquez sur le bouton « Signaler ».
3. Dans la liste déroulante, choisissez « Signaler le hameçonnage ».
4. Si une fenêtre de confirmation s'affiche, validez l'envoi du signalement.
5. Ne répondez pas au message et n'ouvrez ni ses liens ni ses pièces jointes, même pour « vérifier ».

Un message légitime classé en indésirable ? Le signaler aussi

Le même bouton sert dans l'autre sens. Une facture d'un fournisseur ou la réponse d'un client peuvent se retrouver par erreur dans le dossier « Courrier indésirable ». Microsoft parle de faux positifs, et le signalement permet de les corriger : le message est remis dans la boîte de réception et transmis, comme les autres, selon les réglages de l'organisation. Un simple glisser-déposer vers la boîte de réception, lui, ne prévient personne.

1. Ouvrez le dossier « Courrier indésirable ».
2. Sélectionnez le ou les messages légitimes.
3. Cliquez sur « Signaler », puis choisissez « Pas de courrier indésirable ».

Côté administrateur : savoir où arrivent les signalements

Un bouton de signalement n'a d'intérêt que si quelqu'un lit les signalements. Microsoft précise que le bouton intégré n'apparaît dans Outlook que si le signalement par les utilisateurs est activé et configuré dans le portail Microsoft Defender. Le réglage se fait à la page « Paramètres signalés par l'utilisateur », avec un compte disposant d'un rôle suffisant : Microsoft cite notamment l'Administrateur de la sécurité, et recommande de réserver le rôle d'Administrateur général aux cas où un autre rôle ne suffit pas.

Trois destinations sont possibles : « Microsoft et ma boîte aux lettres de création de rapports », « Ma boîte aux lettres de création de rapports uniquement » ou « Microsoft uniquement ». Le premier choix est la valeur par défaut, et un détail mérite d'être connu : tant qu'aucune boîte n'est désignée, Microsoft indique que la boîte de signalement est celle de l'administrateur général. Dans beaucoup de PME, c'est un compte d'administration que personne ne consulte. Désigner une vraie boîte, lue par la personne ou le prestataire qui gère la sécurité, change tout. Microsoft refuse en revanche les groupes de distribution et le renvoi vers une boîte externe.

Quelle que soit la destination choisie, les messages signalés avec le bouton intégré restent consultables par les administrateurs dans l'onglet « Utilisateur signalé » de la page « Soumissions » du portail Defender. Depuis cette page, un administrateur peut marquer un message et prévenir le salarié du résultat de l'analyse : c'est la meilleure façon d'entretenir le réflexe.

1. Connectez-vous au portail Microsoft Defender, security.microsoft.com, avec un compte d'administrateur de la sécurité.
2. Ouvrez « Paramètres », puis « Email & collaboration », et l'onglet « Paramètres signalés par l'utilisateur ».
3. Vérifiez que l'option « Surveiller les messages signalés dans Outlook » est cochée, avec « Utiliser le bouton Rapport intégré dans Outlook ».
4. Dans la section des destinations, choisissez où envoyer les éléments signalés, par exemple « Microsoft et ma boîte aux lettres de création de rapports ».
5. Désignez une boîte aux lettres Exchange Online effectivement surveillée.
6. Enregistrez, puis consultez les signalements dans « Soumissions », onglet « Utilisateur signalé ».

Et si le salarié a déjà cliqué ?

Le signalement reste utile après coup, mais il ne suffit plus. Pour une personne qui pense avoir été victime d'hameçonnage sur un ordinateur professionnel, Microsoft recommande de contacter l'administrateur informatique et de modifier immédiatement tous les mots de passe des comptes concernés. Si des coordonnées bancaires ont été saisies, il faut aussi prévenir la banque.

Si l'ordinateur semble compromis — pièce jointe ouverte, programme lancé, comportement anormal —, l'ANSSI indique que le premier réflexe face à un incident est de déconnecter l'équipement d'internet : débrancher le câble réseau ou désactiver le Wi-Fi. Elle recommande en revanche de ne pas éteindre ni modifier les matériels touchés, qui seront utiles aux enquêteurs, de tenir une main courante des événements, avec l'heure, le nom de la personne et la description, et de porter plainte. En cas de fuite de données personnelles, la déclaration à la CNIL est obligatoire.

Le point décisif reste humain : un salarié qui craint d'être sanctionné attendra avant de parler, et chaque heure compte. C'est précisément pour cela que l'ANSSI recommande une réponse non coercitive, sauf action délibérée.

Les erreurs fréquentes

Transférer le message suspect à un collègue « pour avis ». Le message se retrouve alors dans une deuxième boîte, avec ses liens actifs. Le bouton de signalement transmet le message sans le diffuser.

Laisser les signalements arriver dans une boîte que personne ne lit. C'est le réglage par défaut tant qu'aucune boîte n'est désignée : la boîte de l'administrateur général.

Oublier les boîtes partagées. Microsoft précise que, dans les versions récentes d'Outlook, le bouton permet de signaler depuis une boîte partagée, mais que l'utilisateur délégué doit disposer de l'autorisation « Envoyer en tant que ». Sans elle, le message est seulement supprimé du dossier, sans être transmis.

Faire cohabiter deux boutons. Si l'entreprise utilise le bouton d'un éditeur tiers, Microsoft déconseille de faire fonctionner en même temps les boutons Microsoft et non-Microsoft : les soumissions en double créent du bruit.

Confondre courrier indésirable et hameçonnage. Le premier bloque l'expéditeur pour l'utilisateur ; le second supprime le message et alerte la sécurité. Signaler une tentative d'hameçonnage comme simple indésirable, c'est priver l'administrateur de l'information.

Répondre à l'expéditeur pour vérifier. La vérification se fait par un autre canal, à un numéro déjà connu, comme le recommande l'ANSSI.

Pour toute l'équipe : un réflexe qui se prépare

Le geste prend dix secondes ; ce qui fait la différence se décide en amont. Vérifier que le bouton est bien actif sur tous les postes et toutes les versions d'Outlook, désigner une boîte de signalement réellement suivie, régler les boîtes partagées, choisir le message de confirmation affiché aux salariés, puis expliquer le geste à toute l'équipe, sans dramatiser. L'ANSSI recommande aussi, en complément de l'antivirus, un anti-spam et une solution anti-hameçonnage pour augmenter les capacités de détection : le signalement par les salariés est un filet de plus, pas un filtre à lui seul.

Plugin Informatique accompagne depuis 2002 les entreprises de Grenoble et de l'Isère, depuis Claix et Meylan, sur la sécurité de la messagerie Microsoft 365 et la sensibilisation des équipes. Revendeur Mailinblack, il déploie aussi le filtrage des e-mails et les simulations d'hameçonnage. Si vous ne savez pas qui reçoit aujourd'hui les signalements de vos salariés, c'est une bonne question pour commencer.