Reconnaître l'usurpation d'identité par e-mail

Les techniques d'usurpation d'identité peuvent tromper aussi bien les filtres antispam que le destinataire lui-même. Les messages cherchent généralement à vous faire ouvrir une pièce jointe, visiter un lien ou communiquer des identifiants.

Voici les signaux à vérifier avant de faire confiance à une demande de paiement, d'accès ou de téléchargement.

Falsification de l'expéditeur

Elle consiste à manipuler l'adresse de l'expéditeur pour faire croire que le message vient de quelqu'un d'autre. Gardez l'antispam activé, mais ne le considérez pas comme une protection absolue. SPF, DKIM et DMARC apportent des contrôles complémentaires pour les domaines que vous gérez.

Falsification du nom, avec un expéditeur réel

Même si certains systèmes détectent la falsification du domaine, tous les messages usurpés ne sont pas faciles à repérer. Une autre variante consiste à modifier le nom affiché.

Lorsque vous envoyez un e-mail, vous pouvez définir un nom qui accompagne l'adresse de l'expéditeur, afin d'identifier la personne ou l'entreprise d'où il provient. Ce nom peut être n'importe lequel et, dès qu'il est présent, le webmail ou le logiciel de messagerie l'affiche dans les informations sur l'expéditeur, parfois en masquant l'adresse, car c'est un élément clé pour que l'expéditeur paraisse familier (par exemple le nom complet de la personne).

Le nom affiché est choisi par l'expéditeur, et les normes d'authentification ne prouvent pas qu'il appartient à la personne indiquée. Les filtres peuvent détecter certaines tentatives d'usurpation, mais l'attaquant pourrait même utiliser une adresse connue comme nom.

Certains attaquants exploitent donc cette technique pour usurper des identités : par exemple, un e-mail provient de usuario@dominioexterno.com, mais le nom défini par l'expéditeur est ayuda@banco.com. À la réception, le logiciel de messagerie met en avant le nom, ici ayuda@banco.com, ce qui crée la confusion.

En même temps, le message peut réellement provenir de usuario@dominioexterno.com, ce qui rend difficile de déterminer automatiquement si le nom affiché cherche à tromper.

Les campagnes changent souvent de liens, de pièces jointes et de textes : aucun antivirus ni filtre ne doit être considéré comme une garantie face à une nouvelle variante.

En cas de doute, affichez l'adresse complète et vérifiez le domaine caractère par caractère, les avertissements d'authentification et tout Reply-To différent. Qu'une adresse soit réelle ou qu'un message soit authentifié n'exclut pas que le compte ait été compromis.

Réponse dans une conversation connue

Un attaquant peut répondre dans une vraie conversation s'il a eu accès à un compte ou à des messages antérieurs. Reconnaître l'objet ou l'historique ne prouve pas que la nouvelle demande est légitime.

En général, le message invoquera la nécessité de signer un document, un contrat ou un nouveau tarif, sans donner plus de détails, en restant le plus vague possible pour éviter le doute et pousser le destinataire à ouvrir la pièce jointe.

N'ouvrez pas de pièces jointes ni de liens inattendus. Confirmez la demande par un canal indépendant que vous connaissiez déjà, comme un numéro de téléphone habituel ; ne répondez pas au même message et n'utilisez pas les coordonnées qu'il contient, car le compte pourrait être compromis. Maintenez aussi votre ordinateur et sa protection de sécurité à jour.

Envoi de spam depuis votre propre compte

Il peut aussi arriver que la victime soit le compte du destinataire lui-même ; nous traitons ce cas dans le guide suivant.

Si vous avez déjà interagi avec le message

Si vous avez saisi des identifiants, changez-les depuis l'adresse habituelle du service et vérifiez les sessions, les redirections et les accès. Si vous avez ouvert une pièce jointe suspecte, faites examiner l'ordinateur et évitez d'utiliser cette session pour changer vos mots de passe. Face à un changement de compte bancaire ou à une demande de paiement, confirmez les informations par un canal indépendant connu.

Conservez le message original et ses en-têtes pour l'analyser. Une capture du nom affiché ne suffit pas. Un résultat SPF, DKIM ou DMARC correct n'exclut pas non plus que le compte légitime ait été compromis.