Microsoft a rendu le compte de mon fils. Il n’aurait pas fallu 60 000 vues.

Le compte est de retour. Le processus de récupération doit encore fonctionner quand personne d’important ne regarde.

Il y a quelques semaines, j’ai raconté ce qui s’est passé après le piratage du compte Microsoft de mon fils. La version courte était laide : un attaquant a pris le contrôle du compte, a changé ses informations de récupération, et le processus de récupération de compte de Microsoft m’a laissé tenter de prouver que le compte de mon propre enfant lui appartenait vraiment. J’ai fourni des preuves abondantes, suivi les instructions que Microsoft m’a données, puis le processus de support a tout simplement disparu.

J’ai raconté cette expérience dans La récupération de compte Microsoft est du théâtre sécuritaire. Cet article a fini par dépasser les 60 000 vues.

Puis quelque chose d’intéressant s’est produit. Quelqu’un d’assez haut placé chez Microsoft a consulté mon profil LinkedIn. Je l’ai remarqué, et le 1er septembre je lui ai envoyé un message pour lui demander directement : Regardez-vous mon profil à cause de mon article de blog ? Il a répondu oui. Ce message a tout changé.

La chronologie raconte l’histoire

J’ai contacté Microsoft pour la première fois au sujet du piratage du compte le 13 août 2026.

Le 14 août, l’équipe de support initiale m’a envoyé ceci :

Si vous répondez à cet e-mail dans les 7 prochains jours avec des informations supplémentaires, je serai ravi de poursuivre mon enquête.

C’est donc exactement ce que j’ai fait. Le 15 août, à peine un jour plus tard, j’ai répondu avec une montagne d’informations et de preuves supplémentaires. Puis plus rien : aucune question de suivi, aucune explication, aucune confirmation que l’enquête s’était poursuivie. L’équipe a tout simplement cessé de communiquer avec moi.

Ce silence a duré jusqu’au 4 septembre, quand j’ai enfin reçu cette réponse :

Cette demande de service a déjà été résolue et clôturée. Nous serons heureux de vous aider pour votre nouvelle demande ; cependant, je ne suis pas en mesure de rouvrir cette demande de service clôturée. Vous devez créer une nouvelle demande de service en contactant le support Microsoft, et quelqu’un se fera un plaisir de vous aider.

C’était stupéfiant. On m’avait explicitement dit que si je répondais dans les sept jours avec plus d’informations, l’enquête continuerait. J’ai répondu en un jour. Au lieu de cela, le dossier a apparemment été clôturé à mon insu, et j’ai été ignoré pendant près de trois semaines avant qu’on me dise de tout recommencer.

J’ai répondu en soulignant la contradiction. Microsoft m’avait demandé plus de preuves, avait promis de poursuivre l’enquête si je les fournissais sous sept jours, les avait reçues en un jour, puis avait discrètement fermé le ticket malgré tout. J’ai demandé pourquoi et je n’ai jamais eu de réponse.

Cette partie de l’histoire reste totalement inacceptable. Les personnes confrontées à un piratage de compte sont déjà dans une situation stressante. Clôturer discrètement une enquête après avoir explicitement dit à quelqu’un qu’il dispose d’un délai pour soumettre d’autres preuves, puis ne pas expliquer ce qui s’est passé, ce n’est pas ainsi qu’un processus de sécurité ou de support client devrait fonctionner.

Pendant ce temps, LinkedIn a mieux fonctionné que le support Microsoft

Alors que l’équipe de support initiale restait silencieuse, j’ai remarqué le 1er septembre qu’un employé de Microsoft assez haut placé dans l’organisation avait consulté mon profil LinkedIn. Vu le moment et l’attention qu’avait reçue l’article original, j’avais une assez bonne idée de la raison. Je lui ai écrit directement pour lui demander s’il regardait mon profil à cause de l’article. Il a répondu le jour même : oui.

Nous avons commencé à communiquer via LinkedIn, et il a été extraordinairement utile. Il m’a mis en relation avec une équipe d’escalade au sein de Microsoft, et le processus de récupération a redémarré. Structurellement, le processus d’escalade n’était pas radicalement différent de ce que j’avais déjà traversé. Ils posaient des questions, je fournissais des preuves, et ils examinaient les informations du compte pour déterminer la propriété légitime.

Mais il y avait une différence énorme : cette fois, on avait le sentiment que quelqu’un évaluait réellement les preuves que je lui donnais. Ils étaient réactifs, communiquaient avec moi, posaient des questions de suivi et semblaient tenir compte de l’historique du compte et des informations que je fournissais, au lieu de traiter le dossier comme une liste de contrôle binaire.

Et le 7 septembre 2026, le compte a été restauré. Six jours après avoir contacté l’employé de Microsoft sur LinkedIn. Vingt-cinq jours après mon premier contact avec le support Microsoft. Youpi !

L’équipe d’escalade a été excellente

Je tiens à être clair sur ce point, car il serait injuste de mettre tout Microsoft dans le même panier. Les personnes qui m’ont finalement aidé ont été formidables. L’employé de Microsoft avec qui je suis entré en contact via LinkedIn a été aimable, réactif et sincèrement désireux de comprendre ce qui s’était passé. L’équipe d’escalade a pris la situation au sérieux et a finalement abouti au bon résultat.

Nous avons même passé du temps à essayer de comprendre comment le compte avait été compromis au départ. Cela reste la plus grande question sans réponse. Comme je suis principalement utilisateur de Mac et que je passe beaucoup moins de temps à administrer des machines Windows, le contact chez Microsoft m’a donné quelques pistes pour examiner l’ordinateur de mon fils. À partir de là, j’ai utilisé ChatGPT pour aller nettement plus loin : examiner la machine Windows, passer en revue les paramètres de sécurité, chercher des mécanismes de persistance, vérifier la présence de logiciels suspects et chercher des preuves que l’ordinateur lui-même avait été compromis.

Jusqu’ici, je n’ai rien trouvé : aucun malware évident, aucun outil d’accès à distance clair, aucune preuve que quelqu’un avait un contrôle persistant de la machine, et rien qui explique proprement le piratage. Cela rend une forme d’ingénierie sociale de plus en plus probable, même si je ne peux toujours pas prouver exactement ce qui s’est passé. Mon fils ne se souvient pas avoir fait quoi que ce soit qui l’explique de façon évidente, et les données de compte disponibles ne m’ont pas donné assez d’informations pour reconstituer l’attaque de manière concluante. Je continue de creuser.

Le compte est de retour. Il est aussi beaucoup plus difficile à voler désormais.

Une fois l’accès récupéré, j’ai considérablement renforcé le compte. Plus important encore, mon fils et moi avons eu une longue conversation très directe sur les arnaques modernes. C’est quelque chose que les parents d’enfants techniquement à l’aise peuvent, je crois, sous-estimer : savoir utiliser des ordinateurs n’est pas la même chose que comprendre les comportements adverses sur internet.

Les enfants passent énormément de temps dans des environnements où des inconnus leur demandent régulièrement de :

• Se connecter à des sites web.
• Rejoindre des serveurs Discord.
• Installer des mods ou des utilitaires.
• Scanner des codes QR.
• Authentifier des comptes de jeu.
• Saisir des codes de vérification.
• Suivre des liens envoyés par chat.
• Connecter des identités Microsoft, Google, Steam, Xbox, Roblox ou autres à des services tiers.

La plupart de ces interactions sont parfaitement légitimes. Il suffit à un attaquant d’une seule qui ne l’est pas. Nous changeons donc la façon dont l’authentification fonctionne chez nous. Mon fils va désormais utiliser exclusivement un gestionnaire de mots de passe pour ses identifiants. Si un mot de passe n’est pas dans le gestionnaire, il ne devrait pas être en train de le taper. Si le gestionnaire ne reconnaît pas un site comme appartenant à l’identifiant qu’il s’attend à utiliser, cela doit immédiatement être un signal que quelque chose ne va pas.

Cela n’élimine ni le phishing ni l’ingénierie sociale, mais cela réduit fortement la manipulation manuelle des identifiants et notre surface d’attaque. Nous avons également renforcé les mécanismes de récupération et l’authentification partout où c’était possible.

Mais il y a un problème plus grand

Je suis évidemment content du résultat. Mon fils a retrouvé son compte, les membres de l’équipe d’escalade de Microsoft ont été sincèrement utiles, et quelqu’un chez Microsoft s’est suffisamment soucié de la situation pour s’impliquer personnellement. Mais je reviens sans cesse à une question inconfortable : Que se serait-il passé si mon article avait reçu 60 vues au lieu de 60 000 ?

Le processus de support normal :

• 13 août : je contacte Microsoft.
• 14 août : Microsoft me demande plus de preuves et dit explicitement qu’il poursuivra l’enquête si je réponds sous sept jours.
• 15 août : je fournis des preuves supplémentaires abondantes.
• 15 août au 4 septembre : silence.
• 4 septembre : Microsoft m’annonce que le dossier a déjà été clôturé et que je dois tout recommencer.

Le processus d’escalade :

• 1er septembre : je remarque qu’un employé de Microsoft a consulté mon profil LinkedIn et je le contacte.
• 1er septembre : il répond et commence à me mettre en relation avec les bonnes personnes.
• 7 septembre : Microsoft restaure le compte.

La voie d’escalade a réglé en six jours ce que le processus de support ordinaire n’a pas réussi à résoudre en plus de trois semaines. C’est ça, la vraie histoire. Il se trouve que j’avais une tribune. L’histoire s’est répandue. Quelqu’un chez Microsoft l’a remarquée, a consulté mon profil LinkedIn, et il se trouve que je l’ai remarqué. Je l’ai contacté, il a répondu, il savait qui contacter en interne, et le compte a fini par être restauré.

C’est un enchaînement d’événements remarquablement spécifique, et rien de tout cela n’aurait dû être nécessaire. Les preuves que j’ai données à l’équipe d’escalade n’étaient pas comme par magie différentes parce qu’un employé de Microsoft avait vu mon article. J’étais toujours le même parent. C’était toujours le même compte. L’historique du compte était toujours le même. Les circonstances du piratage étaient toujours les mêmes. Ce qui a changé, c’est qu’une personne chez Microsoft capable de naviguer dans l’organisation s’est intéressée au dossier.

Cela m’inquiète bien plus que la question de savoir si mon histoire particulière a eu une fin heureuse. Un système de récupération de sécurité doit fonctionner pour la personne qui n’a pas de blog, qui n’a pas 60 000 personnes lisant son histoire, qui ne peut pas trouver un employé de Microsoft sur LinkedIn et qui n’a pas les compétences techniques pour reconstituer des historiques de connexion et des événements de sécurité. Il doit fonctionner quand personne d’important ne regarde.

La récupération de compte fait partie du modèle de sécurité

Ma critique initiale de la récupération de compte Microsoft n’a pas fondamentalement changé. La récupération de compte n’est pas simplement du support client. C’est un système de sécurité. Les entreprises consacrent d’énormes efforts d’ingénierie à protéger la porte d’entrée avec des passkeys, la MFA, l’analyse comportementale, la détection de connexions suspectes, les empreintes d’appareils, le scoring de risque et des systèmes d’authentification de plus en plus sophistiqués. Mais un jour, quelqu’un perd l’accès, et à ce moment-là, le processus de récupération de compte devient de fait le système d’authentification.

Il doit répondre à une question extraordinairement difficile : Qui devrait contrôler ce compte ? Se tromper dans un sens ou dans l’autre est désastreux. Rendez la récupération trop facile et les attaquants peuvent voler des comptes via le support client. Rendez-la trop rigide et les propriétaires légitimes peuvent perdre définitivement des comptes qui contiennent parfois des années d’achats, d’e-mails, de fichiers, d’historique de jeu, d’identités, d’abonnements et de données familiales.

C’est un problème d’ingénierie difficile. Mais « problème difficile » ne peut pas devenir une excuse pour un système où le meilleur chemin vers une récupération réussie consiste à générer assez d’attention publique pour qu’un cadre de l’entreprise vous remarque.

Microsoft a fini par faire ce qu’il fallait

Je veux terminer cette mise à jour différemment de la première. Microsoft a finalement réglé le problème. Les personnes qui m’ont aidé ont été professionnelles, empathiques et efficaces. Je remercie l’employé de Microsoft qui a vu mon article, a répondu à un inconnu sur LinkedIn et a personnellement aidé à faire avancer ce dossier au sein de l’entreprise. Je remercie l’équipe d’escalade qui a réexaminé les preuves et restauré le compte de mon fils. Ils méritent d’en être crédités.

Mais le fait que l’escalade ait fonctionné démontre aussi quelque chose d’important : le compte était récupérable. Microsoft disposait d’assez d’informations pour déterminer que mon fils en était le propriétaire légitime. Le problème était de faire parvenir le dossier devant un processus capable de prendre cette décision.

C’est la partie que Microsoft doit encore corriger, parce que le prochain parent n’aura peut-être pas d’article viral. Et récupérer le compte de son enfant ne devrait pas en exiger un.