Permettre aux salariés de signaler facilement des emails suspects contribue à renforcer la sécurité globale de l’entreprise et à automatiser la gestion des signalements dans Arsen.

1 - Objectifs

Permettre aux collaborateurs de signaler un email suspect directement depuis Outlook
Remonter automatiquement les signalements dans Arsen pour les simulations internes
Rediriger les véritables emails de phishing vers Microsoft
Développer une culture de vigilance et améliorer le score de sécurité global

2 - Prérequis

Utiliser Microsoft Outlook et Microsoft 365
Disposer d’un compte administrateur Microsoft 365
Posséder une licence Microsoft 365 Defender pour Office 365 Plan 1
Pouvoir accéder au Microsoft 365 Admin Center, Defender et Exchange Admin Center

3 - Comprendre le fonctionnement du bouton de signalement Outlook

3.1 - Utiliser les compléments disponibles

Il est possible d’utiliser indifféremment les compléments Report Phishing ou Report Message.
La documentation officielle Microsoft reste accessible si nécessaire.

3.2 - Identifier le comportement selon la source de l’email

Si l’email provient d’une campagne Arsen, le signalement est transmis automatiquement à Arsen.
Si l’email provient d’une autre source, il est envoyé à Microsoft ou suit les MailFlow Rules existantes

3.3 - Comprendre les avantages à l'utilisation du bouton natif

Intégration native maintenue par Microsoft
Aucune demande d’autorisation externe nécessaire

4 - Créer ou utiliser une adresse email dédiée au signalement

4.1 - Vérifier si une adresse existe

Si une adresse dédiée existe déjà, passer directement à l’étape suivante.

4.2 - Créer une adresse de signalement

Accéder au Microsoft 365 Admin Center.
Cliquer sur Utilisateurs actifs (Active Users).
Cliquer sur + Add a user.

Page Active users dans Microsoft 365 Admin Center avec le bouton “Add a user” mis en évidence.

Créer une adresse générique (ex. [email protected]) avec une licence Outlook.

Formulaire de création d’un nouvel utilisateur dans Microsoft 365, incluant champs prénom, nom, nom d’affichage, nom d’utilisateur et options de mot de passe.

5 - Configurer l’utilisation du bouton de signalement Outlook

5.1 - Accéder aux paramètres de signalement

Se connecter à Microsoft 365 Defender.
Accéder à Settings → Email & Collaboration → User-reported settings.
Sélectionner Use the built-in Outlook Report button.

Paramètres de signalement utilisateur montrant la sélection du bouton intégré Outlook pour signaler Phishing, Junk ou Not junk.

5.2 - Personnaliser les paramètres utilisateurs

Activer les options souhaitées :

Demander une confirmation avant l’envoi du signalement.
Personnaliser le message visible dans la fenêtre de signalement.

5.3 - Définir la destination des emails signalés

Dans Message report destinations :

Sélectionner l’option permettant d’envoyer les signalements uniquement vers votre adresse de signalement
Choisir l’adresse créée à l’Étape 1
Cliquer sur Save

⚠️ Attention
Si vous choisissez l’option Microsoft and my reporting mailbox, Microsoft analysera également les simulations Arsen, ce qui peut perturber vos campagnes utilisant le même domaine.

6 - Créer les règles de redirection des signalements d’emails

6.1 - Comprendre la logique des règles

Deux règles doivent être créées :

Redirection des emails de simulation Arsen vers Arsen.
Redirection des emails malveillants réels vers Microsoft.

7 - Créer la règle 1 : rediriger les emails issus d’Arsen

7.1 - Accéder aux règles Exchange

Aller dans Exchange Admin Center.
Accéder à Flux de courrier (Mail flow) puis Règles (Rules).
Cliquer sur + Ajouter une règle → Créer une nouvelle règle.

Vue du centre d’administration Exchange, section Mail flow > Rules, avec le bouton ‘Add a rule’ mis en évidence.

7.2 - Configurer la règle

Donner un nom à la règle : Arsen Phishing Simulation Rule

7.2.1 - Conditions

Si le destinataire est l’adresse de signalement (ex. [email protected]).
AND Si l’objet ou le corps contient :
- 161.38.204.14 et 185.211.123.249 (whitelisting manuel).
- x-arsen-report (si whitelisting par API).

Configuration d’une règle Exchange montrant la condition ‘The recipient is this person’ avec ajout d’une seconde condition via le bouton +.

7.2.2 - Action

Ajouter un destinataire en CC : [email protected]

Action de règle Exchange configurée pour ajouter un destinataire en copie via l’option ‘Add recipients to the Cc box’.

7.2.3 - Finalisation

Enregistrer la règle en cliquant sur Save.
L’activer dans la liste des règles.
Un délai de propagation peut être nécessaire.

7.2.4 - Résumé de la règle

Exemple complet d’une règle Exchange nommée ‘Arsen Phishing Simulation Report’ regroupant conditions et actions d’envoi en copie

8 - Créer la règle 2 : rediriger les emails malveillants vers Microsoft

8.1 - Accéder à la création

Dans Mail flow → Rules, cliquer sur + Ajouter une règle → Créer une nouvelle règle.

Page des règles Mail flow dans Exchange Admin Center montrant le bouton ‘Add a rule’ dans la section Rules.

8.2 - Configurer la règle

Donner un nom à la règle : Arsen Suspicious Phishing Report

8.2.1 - Condition

Si le destinataire est l’adresse de signalement (ex. [email protected]).

Condition Exchange indiquant ‘The recipient is this person’ avec l’adresse SecOps préremplie.

8.2.2 - Action

Ajouter en CC : [email protected]

Action Exchange configurée pour copier le message vers <a href="mailto:phish@office365.microsoft.com" target="_blank" rel="nofollow noopener noreferrer">phish@office365.microsoft.com</a> via l’option ‘Add recipients to the Cc box’.

8.2.3 - Exception

Sauf si l’objet ou le corps inclut :
- 161.38.204.14 et 185.211.123.249
- Et éventuellement x-arsen-report (si whitelisting API)

Interface Exchange Online montrant la création d’une règle de transport, avec l’ajout d’une condition ‘And’ permettant de filtrer les messages dont le sujet ou le corps contient l’IP 161.38.204.14 ou l’en-tête personnalisé ‘x-arsen-report’.

8.2.4 - Finalisation

Enregistrer la règle en cliquant sur Save
Activer dans la liste des règles.
Un délai de propagation peut être nécessaire.

8.2.5 - Résumé de la règle

Fenêtre de configuration d’une règle Exchange nommée ‘Arsen Suspicious Phishing Report’, incluant la condition de destinataire <a href="mailto:secops@yourcompany.com" target="_blank" rel="nofollow noopener noreferrer">secops@yourcompany.com</a> , l’action de copie vers <a href="mailto:phish@office365.microsoft.com" target="_blank" rel="nofollow noopener noreferrer">phish@office365.microsoft.com</a> , et une exception basée sur le contenu du sujet ou du corps du message.

Connecter Arsen au bouton de signalement natif Outlook