Pourquoi l’expéditeur n’est pas une preuve
Comment un e-mail vous parvient, pourquoi les expéditeurs peuvent être falsifiés et pourquoi même une adresse authentique ne suffit pas.
L’e-mail a été conçu pour l’échange, pas pour la sécurité. Les expéditeurs se falsifient, les noms affichés se choisissent librement, des domaines trompeusement similaires s’enregistrent. Et parfois, l’e-mail vient réellement de la boîte piratée d’un partenaire, au beau milieu d’un véritable échange. L’expéditeur seul n’est pas une preuve.
Chapitre C · La boîte de réception
Vous ouvrez maintenant votre boîte mail. Le premier et le plus important constat : vous ne savez pas avec certitude qui vous écrit. Cela tient à la technique elle-même.
L’e-mail a été conçu pour l’échange, pas pour la sécurité
Le protocole utilisé pour envoyer les e-mails (SMTP) date de 1982. À l’époque, il s’agissait simplement de pouvoir échanger des messages. L’expéditeur inscrit lui-même son adresse, comme on peut écrire n’importe quelle adresse d’expéditeur au dos d’une enveloppe.
C’est très simple : avec un outil texte basique, on se connecte à un
serveur de messagerie et on tape quelques commandes : expéditeur
(MAIL FROM), destinataire (RCPT TO), texte (DATA). Et voilà un e-mail
avec un expéditeur inventé. Les procédés de vérification modernes (SPF,
DKIM, DMARC) compliquent la chose, mais toutes les entreprises ne les ont
pas configurés rigoureusement, et contre les astuces suivantes, ils ne
servent à rien.
Le filtre anti-spam ne bloque pas tout non plus. S’il est trop strict, de vrais e-mails disparaissent ; s’il est trop permissif, le phishing passe. Plus un e-mail de phishing est soigné, plus il a de chances d’arriver jusqu’à vous. Le dernier contrôle, c’est vous.
Quatre façons de simuler un expéditeur
- Seul le nom affiché est faux. « Thomas Krämer » s’affiche, mais derrière se cache n’importe quelle adresse gratuite. Sur smartphone, vous ne voyez souvent que le nom.
- Un domaine similaire.
secureit-icu.deau lieu desecureit.icu,rnau lieu dem, un0au lieu d’uno, ou un mot ajouté comme-factureou-support. N’importe qui peut enregistrer de tels domaines pour quelques euros. - Un expéditeur falsifié par voie technique, comme décrit plus haut.
- Une boîte mail authentique, piratée. La boîte mail d’un fournisseur ou d’un client a été prise en main. L’e-mail vient réellement de là, souvent en réponse dans un véritable fil de discussion avec tous les messages précédents. C’est la forme la plus dangereuse.
L’expéditeur affiché n’est pas une preuve. Même une adresse réellement authentique ne l’est pas, car la boîte mail derrière peut avoir été piratée. Ce qui compte, c’est de savoir si le contenu et la demande correspondent à l’expéditeur et à la procédure habituelle.
Les aides que vous offre votre messagerie
- Beaucoup d’entreprises signalent les e-mails venant de l’extérieur par une mention comme [EXTERNE]. Si cette mention figure sur un e-mail « d’un collègue » ou « de la direction », c’est un signal d’alerte net.
- Cliquez ou appuyez sur le nom de l’expéditeur pour voir l’adresse complète.
Un e-mail ressemble davantage à une carte postale qu’à une lettre cachetée : l’expéditeur et le contenu peuvent être falsifiés, lus en chemin, voire modifiés. Avec cette image en tête, on prend presque toujours la bonne décision.
Un fournisseur écrit, dans un véritable échange de mails en cours, que ses coordonnées bancaires ont changé. L’adresse de l’expéditeur est exactement la bonne. Qu’est-ce qui s’applique ?
Plusieurs réponses peuvent être justes.
Les boîtes mail piratées répondent dans de vrais fils de discussion. Une réponse à l’e-mail arrive chez l’attaquant. Seul un second canal, déjà connu, apporte la certitude ; plus de détails au chapitre D.