Reconnaître un e-mail piégé avant de cliquer

7 minutes de lecture

L'e-mail reste la porte d'entrée la plus utilisée pour lancer une attaque, parce qu'il est gratuit à envoyer, facile à falsifier, et qu'il suffit d'une seule personne convaincue sur mille pour que ça fonctionne.

01La situation en clair

Un e-mail piégé ne cherche presque jamais à casser une protection technique. Il cherche à convaincre une personne de faire elle-même l'action dangereuse : cliquer sur un lien, ouvrir une pièce jointe, ou communiquer une information sensible. C'est ce qu'on appelle l'ingénierie sociale : on ne pirate pas un système, on pirate la confiance de quelqu'un.

La version la plus élaborée de cette technique cible les entreprises : un e-mail qui imite la direction, demande un virement urgent et confidentiel, en jouant sur la hiérarchie et la pression du temps. On l'appelle la fraude au président. Mais la version la plus fréquente reste plus simple : un faux message de votre banque, de votre opérateur, ou d'un service de livraison, qui vous demande de "vérifier votre compte".

02Pourquoi ça compte

Un e-mail piégé réussi donne rarement un accès direct et spectaculaire. Il donne un premier point d'entrée, souvent un identifiant et un mot de passe, à partir duquel l'attaquant peut ensuite explorer, se faire passer pour vous, ou rebondir vers d'autres cibles. C'est pour cette raison que le geste réflexe de vérifier avant d'agir a autant de valeur : il coupe l'attaque à son tout premier maillon.

03Ce qu'il faut faire

1. 1

   Vérifiez l'adresse réelle de l'expéditeur, pas seulement le nom affiché

   Un e-mail peut afficher "Votre Banque" alors que l'adresse réelle derrière n'a rien à voir. Cliquez sur le nom de l'expéditeur ou survolez-le pour voir l'adresse complète : une lettre changée, un domaine légèrement différent, sont des signaux clairs.

2. 2

   Méfiez-vous de l'urgence et de la pression

   "Action requise sous 24h", "votre compte va être suspendu", un message soi-disant du dirigeant qui demande un virement discret : l'urgence et la confidentialité sont les deux leviers les plus utilisés, parce qu'ils poussent à agir avant de réfléchir. Une vraie urgence légitime laisse toujours la place à une vérification par un autre canal.

3. 3

   Ne cliquez pas : allez vérifier vous-même, directement

   Plutôt que de cliquer sur le lien du mail, ouvrez votre navigateur et tapez vous-même l'adresse du site concerné, ou utilisez l'application officielle. Si le message est légitime, l'information ou l'alerte s'y trouvera aussi.

4. 4

   Survolez les liens avant de cliquer

   Sur ordinateur, laisser le curseur sur un lien (sans cliquer) affiche généralement sa destination réelle en bas de l'écran. Si l'adresse qui s'affiche ne correspond pas à ce que le texte du lien annonce, ne cliquez pas.

5. 5

   Si vous gérez un nom de domaine, protégez-le contre l'usurpation

   Trois mécanismes techniques (SPF, DKIM et DMARC) permettent de prouver qu'un e-mail envoyé "depuis" votre domaine provient bien de vos serveurs autorisés, et d'indiquer aux autres messageries quoi faire des messages qui prétendent venir de vous sans l'être. C'est ce qui empêche quelqu'un d'expédier des e-mails frauduleux qui semblent provenir de votre propre adresse. Si vous gérez un site ou un domaine professionnel, demandez à votre hébergeur de les activer.