Ouvrir les pièces jointes en toute sécurité

Module 2: Lire ses e-mails · Temps de lecture : 9 minutes

Objectif pédagogique : À la fin de cette leçon, vous savez comment une pièce jointe est intégrée à un e-mail, quels types de fichiers sont dangereux et pourquoi, comment lire un nom de fichier et que faire en cas de doute.

Notions clés : MIME, pièce jointe, base64, extension de fichier, fichier exécutable, macro, pièce jointe HTML, double extension, aperçu dans le navigateur, autre canal

Comment une pièce jointe est intégrée à un e-mail

Techniquement, un e-mail n'est que du texte. Vous pouvez pourtant envoyer des photos, des PDF et des tableurs. C'est possible grâce à MIME : une convention qui décrit comment découper un e-mail en plusieurs parties. Un e-mail avec une pièce jointe comporte au moins deux parties : le texte du message et le fichier. Chaque partie a ses propres en-têtes, par exemple :

Content-Type: application/pdf; name="devis-bouquet-mariee.pdf"
Content-Disposition: attachment; filename="devis-bouquet-mariee.pdf"
Content-Transfer-Encoding: base64

JVBERi0xLjcKJcfsj6IKNSAwIG9iago8PC9MZW5ndGggNiAwIFIvRmlsdGVy
...

Le fichier lui-même est converti en texte avec base64 : chaque groupe de 3 octets devient 4 caractères. Une pièce jointe grossit donc d'environ un tiers pendant le transport. Vous en saurez plus dans la leçon 3.3. Avec Plus > Afficher la source, vous pouvez le constater vous-même sur n'importe quel e-mail contenant une pièce jointe.

Le point essentiel : c'est l'expéditeur qui choisit le nom du fichier et son type (Content-Type). Personne ne vérifie en chemin qu'un fichier nommé "facture.pdf" est vraiment un PDF. Le nom est une étiquette, pas une preuve.

Pourquoi certains fichiers sont dangereux

Un fichier est dangereux s'il peut agir sur votre ordinateur dès que vous l'ouvrez. Une photo ou un PDF ordinaire vous montre quelque chose. Un programme exécute des commandes. La différence se trouve dans l'extension de fichier : les lettres après le dernier point du nom. C'est d'après elle que votre ordinateur choisit le programme qui ouvre le fichier.

N'ouvrez les types suivants que si vous les attendez réellement et que vous avez vérifié l'expéditeur par un autre canal :

Fichiers exécutables et scripts : .exe, .scr, .bat, .cmd, .js, .vbs, .hta. Ce sont des programmes ou des commandes. Les ouvrir, c'est les lancer. Un client, un fournisseur ou une banque ne vous envoie jamais ce genre de fichier par e-mail.
Raccourcis et fichiers image disque : .lnk, .iso, .img. Un fichier .lnk peut lancer une commande. Windows ouvre un .iso ou un .img comme un disque supplémentaire, qui contient alors souvent un programme ou un raccourci. Les attaquants utilisent cet emballage pour contourner les antivirus.
Fichiers Office avec macros : .docm, .xlsm et similaires. Une macro est un petit programme intégré à un document. Office bloque généralement les macros des fichiers provenant d'Internet, mais l'attaque vise justement à vous faire les activer. Un document qui vous demande de cliquer sur "Activer le contenu" ou "Activer la modification" pour afficher le texte est un signal d'alerte.
Pièces jointes HTML : .html ou .htm. Votre navigateur les ouvre comme une page web. Il s'agit souvent d'une fausse page de connexion, par exemple de votre webmail ou de Microsoft, avec votre propre adresse déjà remplie. Ce que vous saisissez part chez l'attaquant. Comme le fichier se trouve sur votre propre ordinateur, la barre d'adresse n'affiche aucune adresse web suspecte.
Fichiers zip protégés par un mot de passe, lorsque le mot de passe figure dans l'e-mail lui-même. Un antivirus ne peut pas regarder à l'intérieur d'une archive chiffrée. C'est précisément pour cela que les attaquants procèdent ainsi. Un zip ordinaire sans mot de passe n'est pas forcément suspect, mais regardez ce qu'il contient avant d'ouvrir quoi que ce soit.

Et le PDF ? Un PDF peut généralement être consulté sans danger, surtout dans le navigateur. Le danger vient de son contenu : un bouton "Voir la facture" ou un code QR qui mène à une fausse page de connexion. Traitez un lien dans un PDF avec la même prudence qu'un lien dans un e-mail (leçon 2.4).

Lisez le nom de droite à gauche

Par défaut, Windows masque l'extension des types de fichiers connus. Un fichier nommé

devis-bouquet-mariee.pdf.exe

apparaît alors comme "devis-bouquet-mariee.pdf". Pour Windows, seule la dernière extension compte : il s'agit d'un programme. L'icône ne prouve rien non plus, car un programme peut recevoir n'importe quelle icône, y compris celle d'un PDF.

Le webmail affiche le nom tel qu'il figure dans l'e-mail, avec toutes ses extensions. Lisez-le donc dans le webmail, avant de télécharger quoi que ce soit. Si le nom est trop long et tronqué, consultez Plus > Afficher la source, à la ligne filename. Commencez par la droite : qu'y a-t-il après le dernier point ? Méfiez-vous aussi des noms longs avec beaucoup d'espaces avant la véritable extension, et des noms comme "Facture_2026_pdf.zip" : ils contiennent "pdf" mais sont des fichiers zip.

Astuce pour Windows : dans l'Explorateur de fichiers, sous Affichage, activez les extensions de noms de fichiers. Vous verrez alors toujours la véritable extension.

Afficher ou télécharger ?

Si vous cliquez sur le nom d'une pièce jointe dans le webmail, celui-ci l'ouvre dans une nouvelle fenêtre lorsque votre navigateur sait afficher ce type de fichier, comme un PDF ou une photo. C'est la façon la plus sûre de la consulter : le navigateur affiche le fichier dans son propre environnement isolé et ne lance aucun programme sur votre ordinateur.

Si vous téléchargez une pièce jointe et l'ouvrez depuis votre ordinateur, c'est le programme associé à l'extension qui l'ouvre : Word, Excel, ou dans le cas d'un .exe, le fichier lui-même. C'est là que se trouve le risque. Ne téléchargez donc que ce dont vous avez besoin et que vous attendez.

Un message avec deux photos en fichiers joints et le lien Télécharger tous les fichiers joints — (1) les fichiers joints, (2) Télécharger tous les fichiers joints

L'illustration montre un message avec deux photos en pièce jointe et le lien Télécharger tous les fichiers joints. Ce lien vous donne un seul fichier zip contenant toutes les pièces jointes. C'est pratique, mais vous téléchargez aussi des pièces jointes que vous n'avez pas consultées.

La confiance dépend de la situation

Une pièce jointe n'est pas sûre ou dangereuse uniquement en raison de son type de fichier. La situation compte aussi. Posez-vous trois questions :

Est-ce que je m'y attends ? Julie a demandé à Karim une photo de la robe ; un .jpg de Karim est alors logique. Une "facture" inattendue d'une entreprise chez qui elle n'a jamais rien acheté, non.
Le fichier correspond-il à l'histoire ? Un devis est un PDF. Un devis au format .html, .iso ou en zip protégé par mot de passe ne correspond pas.
L'expéditeur est-il le bon ? Regardez l'adresse et le domaine (leçon 2.2). Mais attention : un véritable expéditeur peut aussi avoir été piraté. Si la boîte mail de Hugo a été compromise, une pièce jointe dangereuse arrive tout simplement de hugo@example.com, souvent sous forme de réponse dans une conversation existante.

En cas de doute, demandez par un autre canal : appelez l'expéditeur à un numéro que vous aviez déjà, ou envoyez un nouveau message (pas une réponse à l'e-mail suspect). Un véritable expéditeur ne trouvera pas cela étrange.

Vous avez malgré tout ouvert quelque chose de douteux ? Déconnectez l'ordinateur du réseau, changez vos mots de passe depuis un autre appareil et faites-vous aider. La formation Sécurité en ligne décrit cette démarche étape par étape.

En pratique : comment cela fonctionne dans le webmail

Dans le webmail, les pièces jointes figurent au-dessus du texte du message. Cliquez sur le nom pour l'afficher ; la petite flèche à côté du nom vous permet notamment de télécharger. Télécharger tous les fichiers joints vous donne un seul fichier zip. Le manuel de Roundcube décrit les boutons dans la section Ouvrir et enregistrer les pièces jointes. Dans d'autres webmails, comme Gmail ou Outlook.com, le fonctionnement est similaire : là aussi, vous pouvez d'abord afficher une pièce jointe dans le navigateur avant de la télécharger.

Résumé

Une pièce jointe est une partie de l'e-mail (MIME), encodée en texte avec base64 ; c'est l'expéditeur qui en choisit le nom et le type.
Sont dangereux : les programmes et scripts, les raccourcis et images disque, les fichiers Office avec macros, les pièces jointes HTML et les zip protégés par mot de passe.
Lisez un nom de fichier de droite à gauche ; seule la dernière extension compte et l'icône ne prouve rien.
Afficher dans le navigateur est plus sûr que télécharger puis ouvrir.
En cas de doute, vérifiez par un autre canal ; même un expéditeur connu peut avoir été piraté.

Quiz

Exercice

Exercice A2.3 : À quelles pièces jointes ne faites-vous pas confiance ? Le support bijlagen-1.txt se trouve sous cet exercice : dix pièces jointes numérotées, chacune avec l'expéditeur et la situation dans laquelle l'e-mail est arrivé. Évaluez chaque pièce jointe à l'aide des trois questions de cette leçon (est-ce que je m'y attends, le fichier correspond-il à l'histoire, l'expéditeur est-il le bon) et de ce que vous savez sur les extensions. Saisissez les numéros des pièces jointes que vous n'ouvririez pas. Le programme compare votre sélection au corrigé et indique pour chaque pièce jointe si votre choix est correct, avec la raison.

Pour aller plus loin

Lorsque des étapes dans le webmail sont décrites, elles s'appliquent au webmail de WebOké ; dans d'autres webmails, le fonctionnement est similaire.

Cookies sur WebOké

Paramètres des cookies

Nécessaires

Marketing