Supprimer l’hameçonnage

Repérez un courriel d’hameçonnage dans chaque boîte aux lettres Microsoft 365 qu’il a atteinte, puis déplacez-le vers le courrier indésirable ou les éléments supprimés, ou supprimez-le définitivement, en une seule action approuvée.

Ouvrir Supprimer l’hameçonnage dans votre console

Où le trouver
Sécurité du courriel › Supprimer l’hameçonnage
Qui peut l’utiliser
Toute personne qui peut voir la page; le retrait de courriels exige un accès en lecture et en écriture (Mail) à Microsoft 365, accordé pour l’entreprise
Pour
FSG
Forfait
Signalement d’hameçonnage (option complémentaire, ou inclus dans Complete). Voir les tarifs
Fonctionnalité
Retirer les courriels d’hameçonnage de toutes les boîtes aux lettres et de tous les locataires

À quoi sert la page

Supprimer l’hameçonnage (Delete Phish) est une page de la console Lavawall®, dans la section Sécurité du courriel. Lavawall est la plateforme de surveillance et de gestion à distance (RMM), de sécurité et de conformité de ThreeShield, conçue et hébergée au Canada. À propos de cette fonctionnalité.

Lorsqu’un courriel d’hameçonnage passe à travers les filtres, il atterrit généralement dans de nombreuses boîtes aux lettres. Cette page recherche, dans les boîtes aux lettres Microsoft 365 d’une entreprise ou de toutes les entreprises que vous gérez, les messages qui correspondent à ce que vous savez de l’attaque : expéditeur, domaine de l’expéditeur, adresse IP de l’expéditeur ou objet. Vous pouvez remplir ces critères à la main ou déposer une copie du courriel sous forme de fichier .eml.

La recherche ne supprime jamais rien. Vous voyez d’abord un aperçu de chaque message correspondant, cochez ceux sur lesquels agir, choisissez une action et confirmez en saisissant un mot. Lavawall retire ensuite les messages sélectionnés en arrière-plan et affiche le résultat pour chacun.

Les recherches s’exécutent sur le serveur Lavawall : vous pouvez quitter la page pendant une recherche. Lorsqu’elle est terminée, vous recevez une notification (et, pour une recherche plus longue, un courriel) avec un lien direct vers ses résultats. Les résultats sont conservés pendant 30 jours.

Les recherches antérieures sont conservées sous Recent searches afin que vous puissiez les rouvrir et vérifier ce qui a été fait.

Ce que vous voyez

La page Delete Phish, avec la zone de départ à partir d’un fichier .eml, la recherche de courriels d’hameçonnage, les recherches récentes et les résultats, numérotés de 1 à 4.
La page Delete Phish. Les numéros correspondent à la liste ci-dessous.
  1. Start from a .eml : glissez-déposez un courriel enregistré, ou cliquez sur Choose .eml file, pour remplir la recherche à votre place.
  2. Find phishing mail : Scope (One company ou All companies I manage), Sender email, Domaine de l’expéditeur, IP de l’expéditeur, Objet (contient ou égale), Look back et Search mailboxes, ainsi que Re-authorize Microsoft access.
  3. Recent searches : les recherches antérieures avec leur état (par exemple en cours de recherche, prêt à examiner, en file d’attente, terminé) et le nombre de correspondances. Cliquez sur l’une d’elles pour la rouvrir.
  4. Results : les messages correspondants avec Entreprise, Mailbox, Sender, Objet, Received, IP, Folder et Result, ainsi que Tout sélectionner, Effacer, Action for selected et Approve & queue.

Comment repérer un courriel d’hameçonnage dans chaque boîte aux lettres

La zone Start from a .eml de la page Delete Phish, avec une zone de glisser-déposer et un bouton Choose .eml file, à côté d’un panneau Results vide.
Déposez le courriel signalé dans Start from a .eml, ou cliquez sur Choose .eml file, et la recherche se remplit pour vous.
  1. Facultatif : déposez le courriel signalé dans Start from a .eml. L’expéditeur, le domaine, l’adresse IP et l’objet sont remplis.
  2. Choisissez One company et sélectionnez-la, ou choisissez All companies I manage.
  3. Remplissez un ou plusieurs des champs Sender email, Domaine de l’expéditeur, IP de l’expéditeur et Objet. Chaque champ rempli doit correspondre.
  4. Choisissez jusqu’où remonter dans la recherche avec Look back (de 7 jours à 1 an).
  5. Cliquez sur Search mailboxes. Les résultats s’affichent pendant l’exécution de la recherche.

Comment retirer les messages

  1. Examinez les résultats. Cochez les messages sur lesquels agir, ou cliquez sur Tout sélectionner.
  2. Choisissez une option dans Action pour la sélection : Déplacer vers Courrier indésirable (récupérable), Déplacer vers Éléments supprimés (récupérable) ou Suppression définitive : permanente.
  3. Cliquez sur Approuver et mettre en file.
  4. Dans la confirmation, vérifiez l’organisation et ce qui arrivera aux messages. Attendez que la Vérification de sécurité affiche Succès !; pour une suppression définitive, saisissez aussi l’expression demandée. Cliquez ensuite sur le bouton de l’action, par exemple Déplacer vers Courrier indésirable.
  5. Observez la colonne Résultat passer à Indésirable ✓, Supprimé ✓ ou Purgé ✓.
Le panneau Résultats après une recherche lancée à partir d’un fichier .eml, avec un message correspondant, la liste Action pour la sélection réglée sur Déplacer vers Courrier indésirable et le bouton Approuver et mettre en file.
Choisissez ce qui arrive aux messages sélectionnés, puis cliquez sur Approuver et mettre en file. Données d’exemple.
La confirmation Déplacer 1 message vers Courrier indésirable?, qui nomme l’organisation, explique que les messages sélectionnés seront déplacés vers le dossier Courrier indésirable de chaque boîte aux lettres, avec une vérification de sécurité réussie et les boutons Annuler et Déplacer vers Courrier indésirable.
La confirmation nomme l’organisation et exige une vérification de sécurité. Données d’exemple.

Comment quitter la page et y revenir

  1. Après avoir cliqué sur Rechercher dans les boîtes aux lettres, vous pouvez fermer la page ou aller ailleurs dans la console. La recherche continue sur le serveur Lavawall.
  2. Lorsqu’elle est terminée, ouvrez la notification Email search finished dans la cloche de notifications, ou le lien du courriel, pour aller directement aux résultats. Pour recevoir le courriel, abonnez-vous à Email search finished dans vos paramètres de notification; la personne qui a lancé une longue recherche le reçoit dans tous les cas.
  3. Ou rouvrez la page et cliquez sur la recherche dans Recherches récentes. Chaque recherche indique Conservée jusqu’au et la date à laquelle ses résultats seront retirés, 30 jours après sa dernière activité.
  1. Ouvrez la recherche. Tant qu’elle est en attente ou en cours, Annuler la recherche s’affiche à côté du titre des résultats.
  2. Cliquez sur Annuler la recherche et confirmez. Les correspondances déjà trouvées sont conservées; rien n’est déplacé ni supprimé.

Comment vérifier que chaque boîte aux lettres a été fouillée

  1. Ouvrez la recherche et dépliez Boîtes aux lettres fouillées.
  2. Chaque boîte aux lettres affiche Méthode de recherche, Messages vérifiés, Correspondances et Couverture. Triez par n’importe quelle colonne, ou tapez dans Filtrer les boîtes aux lettres.
  3. Complète signifie que chaque message de la période de recherche a été vérifié. {n} messages vérifiés sur {total} signifie qu’une très grande boîte aux lettres n’a été vérifiée qu’en partie, à partir de ses messages les plus récents. Un avertissement au-dessus de la liste compte ces boîtes aux lettres. Relancez la recherche avec une période plus courte ou plus de critères pour les couvrir.
  1. Cliquez sur la recherche dans Recent searches.
  2. Ses résultats se chargent dans Results, y compris ce qui a déjà été retiré.

Comment accorder l’accès Microsoft pour les retraits

  1. Si une bannière indique qu’une nouvelle autorisation Microsoft est nécessaire, cliquez sur le bouton qu’elle contient, ou cliquez sur Re-authorize Microsoft access sous la recherche.
  2. Connectez-vous en tant qu’administrateur général Microsoft 365 et accordez votre consentement.
  3. Vous revenez à cette page. Relancez la recherche.

Conseils

  • Les recherches par domaine de l’expéditeur ou par objet avec equals utilisent la recherche de Microsoft dans les boîtes aux lettres et sont les plus rapides. L’objet avec contains et l’adresse IP de l’expéditeur seuls vérifient chaque message de la période de recherche, et prennent donc plus de temps dans les grandes boîtes aux lettres.
  • Cliquer de nouveau sur Rechercher dans les boîtes aux lettres pour une recherche encore en cours ouvre cette recherche au lieu d’en lancer une deuxième.
  • Commencez par une action récupérable. N’utilisez Hard delete: permanent que si vous êtes certain; cette action retire aussi le message des éléments récupérables et ne peut pas être annulée.
  • Un fichier .eml est lu dans votre navigateur. Seuls l’expéditeur, le domaine, l’adresse IP et l’objet sont utilisés; le contenu du message ne quitte pas la page.
  • La recherche par IP de l’expéditeur lit les en-têtes des messages et est plus lente qu’avec les autres champs.
  • Utilisez Objet avec equals pour éviter d’attraper des courriels légitimes dont l’objet est semblable.
  • Les messages sur lesquels une action a déjà été exécutée ne peuvent pas être cochés de nouveau.

Dépannage

« {n} messages vérifiés sur {total} » dans Boîtes aux lettres fouillées.
Cette boîte aux lettres contient plus de messages dans la période de recherche que Lavawall n’en vérifie en une recherche; seuls ses messages les plus récents ont été vérifiés. Relancez la recherche avec une période plus courte ou plus de critères.
« Recherche déjà en cours. »
La même recherche a été lancée il y a un instant et est toujours en cours; Lavawall l’a ouverte au lieu de la relancer.
Une recherche n’apparaît plus dans Recherches récentes.
Les résultats sont retirés 30 jours après la dernière activité de la recherche. Relancez la recherche. Ce qui a été retiré, et par qui, reste dans le journal d’activité.
« Enter at least one match criterion. »
Remplissez au moins l’un des champs suivants : expéditeur, domaine, adresse IP ou objet.
« Choose a company. »
Choisissez une entreprise, ou passez à All companies I manage.
« No Microsoft-connected companies. »
Aucune de vos entreprises n’a Microsoft 365 connecté. Connectez-le d’abord.
« Microsoft re-authorization needed. »
L’autorisation Mail nécessaire pour rechercher et retirer des messages n’a pas été accordée. Utilisez le bouton de nouvelle autorisation.
Un message affiche « failed ».
Passez le curseur dessus pour voir la raison. Le message a peut-être déjà été déplacé ou supprimé par l’utilisateur.
« Connexion en lecture seule : autorisez l’accès en lecture et écriture pour utiliser cette fonction. »
L’entreprise a connecté Microsoft 365 en lecture seule; Lavawall ne modifie donc rien dans son locataire et le bouton est désactivé. Un administrateur Microsoft 365 peut cliquer sur Autoriser l’accès en lecture et écriture et accorder le consentement; le bouton fonctionne ensuite.

Guides pratiques qui utilisent cette page

Besoin d’aide?

Cherchez dans le centre de soutien ou communiquez avec notre équipe de soutien en nous indiquant la page où vous vous trouviez :

Les noms, entreprises, appareils et chiffres figurant dans les images sont des exemples. Les autres noms de produits et d’entreprises sont des marques de commerce de leurs propriétaires respectifs.

Nous utilisons des statistiques respectueuses de la vie privée, sans témoins, pour compter les visites, et un seul témoin pour faire fonctionner notre clavardage en direct. Les deux ne se chargent que si vous acceptez. Nous n’utilisons aucun traceur publicitaire et nous ne vous profilons pas d’un site à l’autre. Les témoins essentiels au fonctionnement du site restent toujours actifs. Consultez notre politique de confidentialité.