Compte Microsoft volé par vol de jeton ? Comment le détecter et le récupérer

Le 21 mai 2026, le FBI a publié un avertissement public au sujet d'un kit d'hameçonnage proposé « en tant que service », surnommé Kali365, que l'éditeur de sécurité Malwarebytes a également décrit. Il détourne les comptes Microsoft 365 non pas en volant votre mot de passe, mais en récupérant les jetons d'accès que Microsoft délivre à un appareil une fois la connexion approuvée.

Toute la difficulté est là. La victime reçoit un faux partage de document ou une fausse notification Teams qui l'invite à saisir un code sur une page de connexion Microsoft authentique, celle qui sert à connecter un appareil. En saisissant ce code, elle autorise en réalité l'appareil de l'attaquant, qui reçoit des jetons d'accès et d'actualisation liés au compte. Selon le FBI, l'attaquant accède alors au compte sans avoir besoin du mot de passe ni d'une nouvelle étape de double authentification.

On est tenté de classer cela parmi les problèmes informatiques d'entreprise. Ce n'est pas seulement cela : le FBI vise les comptes Microsoft 365, et la même vigilance vaut pour toute personne qui utilise Outlook ou un abonnement Microsoft. Si vous pensez que votre compte a été détourné, voici comment le repérer et quoi faire.

Comment savoir si votre compte a été piraté

Ce type d'attaque est discret, les signes sont donc souvent ténus. Chacun d'eux mérite que vous y regardiez de plus près :

• une connexion ou un appareil que vous ne reconnaissez pas dans l'activité récente de votre compte (Microsoft propose alors de choisir « Ce n'était pas moi ») ou dans la liste de vos appareils ;
• des emails dans votre dossier Envoyés que vous n'avez jamais écrits, ou des messages disparus de votre boîte de réception ;
• un transfert automatique, une réponse automatique ou une règle de boîte de réception que vous n'avez pas créés ;
• des alertes de réinitialisation de mot de passe pour d'autres comptes (banque, réseaux sociaux) que vous n'avez pas demandées ;
• des contacts qui vous signalent avoir reçu de votre part un « document partagé » ou une demande de connexion inattendus.

Si vous constatez ces signes, considérez le compte comme compromis et agissez vite.

La procédure de récupération, étape par étape

Faites-le depuis un appareil de confiance, et non depuis celui que vous soupçonnez d'être en cause.

1. Si vous ne pouvez plus vous connecter, utilisez l'outil d'aide à la connexion de Microsoft (« sign-in helper »), qui oriente vers la bonne procédure de récupération.
2. Analysez votre ordinateur. Microsoft recommande de vérifier que votre antivirus est à jour et de lancer une analyse complète avant de changer votre mot de passe.
3. Changez votre mot de passe, ou réinitialisez-le si vous ne pouvez pas vous connecter, en choisissant un mot de passe robuste.
4. Déconnectez-vous partout. Dans les options de sécurité avancées de votre compte Microsoft, la rubrique « Se déconnecter partout » vous déconnecte de vos appareils de confiance. Selon Microsoft, la déconnexion des navigateurs et des applications intervient dans les 24 heures ; une console Xbox doit être déconnectée séparément. Pour un compte professionnel ou scolaire, prévenez aussi votre service informatique.
5. Vérifiez les réglages de votre messagerie. Microsoft indique avoir réinitialisé certains réglages après un piratage, et invite à vérifier les comptes connectés, le transfert et les réponses automatiques. Vérifiez aussi vos règles de boîte de réception et supprimez celles que vous n'avez pas créées.
6. Vérifiez vos informations de sécurité. Assurez-vous que l'email et le téléphone de récupération, ainsi que les méthodes de double authentification enregistrées, sont bien les vôtres ; supprimez ceux que vous n'avez pas ajoutés.
7. Vérifiez les appareils et les applications connectés, et retirez ceux que vous ne reconnaissez pas.
8. Mesurez ce qui a été touché : liens de partage OneDrive, messages lus ou envoyés, afin de savoir qui d'autre doit être prévenu.

Signalez-le

Le signalement ne rétablira pas votre compte à lui seul, mais il crée une trace dont vous pourriez avoir besoin plus tard. Aux États-Unis, le FBI reçoit les signalements via son Internet Crime Complaint Center (ic3.gov). Dans l'Union européenne, signalez-le aux services de police de votre pays. Si le piratage a exposé des données personnelles, notamment celles d'autres personnes, l'autorité de protection des données de votre pays (en France, la CNIL) peut aussi être informée.

Quand la récupération bloque, et où AccountRights intervient

La plupart des détournements de compte se règlent avec les étapes ci-dessus. Certains non : le compte reste bloqué dans une boucle de vérification, l'attaquant a remplacé les informations de récupération par les siennes, ou la procédure automatisée du fournisseur continue de vous refuser l'accès. C'est le même mur que rencontrent les personnes dont les comptes Facebook ou Instagram ont été piratés : les outils en libre-service s'épuisent.

Pour être clairs : AccountRights n'est pas un support technique. Nous ne pouvons pas réinitialiser votre mot de passe ni vous reconnecter, et les étapes ci-dessus restent le bon point de départ. Nous intervenons à l'étape d'après, lorsqu'un titulaire légitime a tout fait correctement et que le compte reste hors de portée, ou lorsque la perte a causé un préjudice réel.

À ce stade, les leviers deviennent juridiques. L'article 15 du RGPD vous donne un droit d'accès aux données personnelles que le fournisseur détient sur vous, avec une réponse due dans un délai d'un mois, prolongeable de deux mois. Une lettre formelle adressée au service juridique du fournisseur peut exposer les faits, les pièces et votre qualité de titulaire du compte, et demander le rétablissement de l'accès. Le diagnostic gratuit d'AccountRights prend environ cinq minutes et vous oriente vers la solution la plus adaptée : lettre envoyée par AccountRights, courrier établi, signé et envoyé par un avocat partenaire indépendant, ou prise en charge complète par un avocat partenaire d'AccountRights, avec qui vous convenez directement des honoraires, par écrit, avant tout travail.

Commencer le diagnostic gratuit

La meilleure récupération, c'est de ne pas en avoir besoin

Une seule habitude déjoue cette catégorie d'attaque : ne saisissez jamais un code de connexion sur une page Microsoft simplement parce qu'un email, un partage de document ou une invitation Teams vous le demande. Faites-le uniquement lorsque vous avez lancé la connexion, sur votre propre appareil. Avec cette arnaque, la page est réellement celle de Microsoft : c'est ce qui la rend efficace.

Sources

• FBI IC3 : annonce de service public du 21 mai 2026 sur Kali365
• Malwarebytes : le kit d'hameçonnage Kali365 contourne la double authentification (27 mai 2026)
• Microsoft : récupérer un compte Microsoft piraté ou compromis
• Microsoft : se déconnecter partout