La messagerie académique de Montpellier reste l’un des vecteurs d’attaque les plus exploités pour préparer des fraudes au virement ou déployer des rançongiciels dans les établissements publics d’Occitanie. Le Panorama de la cybermenace 2023-2024 de l’ANSSI confirme une hausse significative des compromissions de comptes de messagerie dans les collectivités territoriales et établissements publics.
Protéger sa boîte pro sur le webmail Montpellier ne se limite pas à choisir un bon mot de passe : c’est une configuration technique à paramétrer poste par poste.
A lire aussi : Protéger votre vie privée face aux dangers des robots connectés
Protocoles de chiffrement sur le webmail Montpellier : IMAP, SMTP et ports à verrouiller
La première faille exploitable sur une messagerie académique se situe au niveau du protocole de connexion. Un client mail configuré en IMAP sur le port 143 sans TLS transmet les identifiants en clair sur le réseau.
Nous recommandons de forcer systématiquement IMAP sur le port 993 avec chiffrement SSL/TLS. Pour l’envoi, le SMTP doit passer par le port 587 avec STARTTLS, pas le port 25 historique qui n’offre aucune couche de chiffrement. Le Schéma directeur de la cybersécurité de l’État (circulaire du 23 janvier 2024) incite les rectorats à interdire progressivement l’IMAP/POP non chiffré dans leurs configurations par défaut.
Lire également : Quel logiciel de sécurité pour la protection de votre identité numérique ?
Sur un poste partagé en salle des professeurs ou en secrétariat, vérifiez la configuration du client Thunderbird ou Outlook. Un paramétrage ancien migré depuis plusieurs années conserve parfois des ports non sécurisés sans que personne ne s’en aperçoive.
Authentification multifacteur et politique de mots de passe pour la messagerie académique
Un mot de passe seul ne protège plus rien. Les campagnes de phishing ciblant les webmails académiques récupèrent les identifiants via des pages de connexion clonées, et un simple couple identifiant/mot de passe suffit alors à compromettre le compte.
L’authentification multifacteur (MFA) bloque la majorité des tentatives d’accès frauduleux, même lorsque le mot de passe a fuité. Le Schéma directeur de la cybersécurité de l’État demande aux services de l’État et à leurs opérateurs de généraliser ce dispositif sur les webmails. Quand l’infrastructure académique ne propose pas encore le MFA nativement, une solution intermédiaire consiste à activer la vérification en deux étapes via l’application FranceConnect ou le portail du rectorat, selon les options disponibles.
Composition et renouvellement du mot de passe
L’ANSSI préconise des mots de passe longs (au moins douze caractères) combinant lettres, chiffres et caractères spéciaux. Nous observons que les comptes compromis dans le secteur éducatif utilisent fréquemment des mots de passe courts, souvent dérivés du nom de l’établissement ou de l’année scolaire.
- Bannir toute référence au nom de l’établissement, à la ville de Montpellier ou à l’année en cours dans le mot de passe
- Utiliser un gestionnaire de mots de passe pour générer et stocker des identifiants uniques par service
- Ne jamais réutiliser le mot de passe du webmail académique sur un autre site, notamment les plateformes personnelles
- Changer le mot de passe dès réception d’un avertissement de connexion inhabituelle
Filtrage anti-phishing et règles de tri sur le webmail Montpellier
Le phishing représente le mode opératoire principal pour compromettre un compte de messagerie professionnelle. Les attaques visant les comptes webmail académiques imitent des notifications officielles du rectorat, des convocations ou des demandes de mise à jour d’identifiants.
Un filtre anti-phishing côté serveur ne dispense pas de configurer des règles côté client. Dans l’interface du webmail, créez des règles de tri qui isolent automatiquement les messages contenant des liens vers des domaines inhabituels. Repérer les expéditeurs dont le domaine ne correspond pas à ac-montpellier.fr reste le réflexe le plus efficace.
Signaux d’alerte dans un mail frauduleux
Un mail de phishing ciblant la messagerie académique présente presque toujours l’un de ces marqueurs :
- L’adresse d’expédition affiche un domaine proche mais différent (ac-montpelier.fr, ac-montpellier-edu.com)
- Le lien de connexion pointe vers une URL qui ne commence pas par le domaine officiel du webmail
- Le message crée une urgence artificielle (suspension de compte, mise à jour obligatoire sous 24 heures)
- La signature de l’expéditeur ne correspond à aucun contact répertorié dans l’annuaire académique
Durée de session et déconnexion automatique : un réglage ignoré sur les postes partagés
Sur un poste en libre accès dans un établissement scolaire, la session webmail laissée ouverte constitue le risque le plus immédiat. Un collègue, un élève ou un intervenant extérieur peut accéder à l’intégralité de la boîte en quelques secondes.
Le webmail académique propose un paramètre de durée de session, souvent réglé par défaut sur plusieurs heures. Nous recommandons de réduire cette durée à quinze ou vingt minutes d’inactivité maximum sur tout poste partagé. Sur un poste personnel, une durée plus longue reste acceptable à condition que le verrouillage de session du système d’exploitation soit lui-même actif.
Pensez aussi à désactiver l’option « Rester connecté » ou « Se souvenir de moi » systématiquement présente sur la page de connexion. Ce simple réflexe évite qu’un navigateur conserve un cookie de session exploitable pendant des jours.
Sécurité des pièces jointes et transfert de fichiers sensibles
Les pièces jointes restent le vecteur privilégié pour l’exécution de code malveillant. Un document Word contenant une macro ou un fichier PDF piégé peut compromettre un poste dès l’ouverture.
Désactivez l’exécution automatique des macros dans les paramètres de votre suite bureautique. Sur LibreOffice comme sur Microsoft Office, le réglage par défaut autorise parfois l’exécution après un simple clic de validation. Pour le transfert de documents sensibles (données élèves, fiches de paie, documents RH), le mail n’est pas le canal adapté. Privilégiez les espaces de partage sécurisés proposés par le rectorat ou l’ENT, qui offrent un chiffrement de bout en bout et une traçabilité des accès.
La sécurité du webmail Montpellier repose sur une combinaison de réglages techniques et de réflexes quotidiens. Forcer le chiffrement des protocoles, activer l’authentification multifacteur, paramétrer la durée de session et traiter chaque pièce jointe avec méfiance : ces quatre leviers couvrent la très grande majorité des scénarios d’attaque documentés par l’ANSSI sur les messageries d’établissements publics.
