Reconnaître le phishing dans votre webmail

Module 2: Lire ses e-mails · Temps de lecture : 10 minutes

Objectif pédagogique : À l'issue de cette leçon, vous reconnaissez les caractéristiques d'un e-mail de phishing, vous savez vérifier dans la webmail où mènent réellement un lien et une réponse, et vous savez quoi faire d'un e-mail suspect et si vous avez malgré tout cliqué.

Notions clés : phishing, texte du lien, lien réel, nom de domaine, sous-domaine, domaine sosie, Répondre à, avertissement d'adresses suspectes, Signaler un spam, autre canal

Ce qu'est le phishing

Le phishing (ou hameçonnage) est un e-mail qui tente de vous inciter à faire quelque chose qui sert l'expéditeur : vous connecter sur une page imitée, effectuer un paiement, ouvrir une pièce jointe ou renvoyer des informations. Le mot vient de l'anglais fishing, la pêche : l'attaquant lance sa ligne et attend que quelqu'un morde.

La plupart du temps, le phishing ne vise pas votre ordinateur, mais vous. Il ne contient souvent aucun virus. L'e-mail veut seulement que vous agissiez vous-même. C'est pourquoi un antivirus n'aide que de façon limitée, et qu'il est en revanche utile de connaître les ruses.

Les ingrédients habituels

Presque tout e-mail de phishing utilise un ou plusieurs de ces moyens :

L'urgence : « sous 24 heures », « aujourd'hui même », « dernier rappel ». Quand on est pressé, on vérifie moins.
La menace : votre boîte mail va être fermée, votre domaine expire, un prélèvement est en attente, votre colis va être renvoyé.
La récompense ou la curiosité : un remboursement, un document partagé, un message vocal.
Un bouton ou un lien vers une page qui ressemble à celle de votre banque, de votre fournisseur ou de votre webmail.
Un expéditeur ou un domaine presque correct.
Une adresse de réponse différente, pour que votre réponse arrive chez l'escroc.

Un e-mail qui combine urgence et lien vers une page de connexion mérite toujours un second regard, même s'il paraît soigné. Un bon phishing ne contient plus de fautes de langue.

Texte du lien et lien réel

Dans un e-mail, le texte que vous voyez et l'adresse vers laquelle mène le lien sont deux choses différentes. Dans la source d'un e-mail, cela ressemble à ceci :

<a href="https://login.weboke.nl.account-check.example/inloggen">
  https://webmail.weboke.fr
</a>

Vous voyez https://webmail.weboke.fr, mais vous allez vers une tout autre adresse. Sur un ordinateur, vous le vérifiez ainsi : survolez le lien ou le bouton avec la souris, sans cliquer. L'adresse réelle apparaît en bas de la fenêtre du navigateur. Sur un téléphone ou une tablette, appuyez longuement sur le lien : un menu s'ouvre, avec l'adresse au-dessus. Ne choisissez ensuite pas d'ouvrir le lien.

Lire une adresse web

Encore faut-il savoir bien lire l'adresse réelle. Regardez la partie entre https:// et la première barre oblique qui suit. Lisez-la de droite à gauche : l'extension (.nl, .com, .example) et le mot qui la précède forment ensemble le nom de domaine. C'est cette partie qui compte.

https://webmail.weboke.fr/ : le nom de domaine est weboke.nl. La partie webmail placée devant en fait un sous-domaine, que seul le propriétaire de weboke.nl peut créer.
https://login.weboke.nl.account-check.example/inloggen : le nom de domaine est account-check.example. Tout ce qui précède (« login.weboke.nl ») est un sous-domaine choisi par l'attaquant lui-même. C'est la ruse la plus connue.
https://weboke-security.example/ : un domaine sosie. Il contient un nom connu, mais c'est un autre domaine, que n'importe qui peut enregistrer.
https://www.example.com@account-check.example/ : tout ce qui se trouve avant le @ est ignoré ; vous allez vers account-check.example.

Certains domaines jouent aussi sur les lettres : un chiffre 0 à la place de la lettre o, rn à la place de m, ou des lettres d'un autre alphabet qui ont la même apparence. Si vous ne voyez pas la différence à l'œil nu, un gestionnaire de mots de passe vous aide : il ne remplit votre mot de passe que sur le vrai domaine (leçon 1.3).

Expéditeur et Répondre à

Dans la leçon 2.2, vous avez vu que le nom affiché ne prouve rien et que Répondre à peut contenir sa propre adresse. Dans le phishing, les deux vont souvent de pair. L'e-mail prétend venir de « WebOké Support », l'adresse est support@weboke-security.example, et Répondre à pointe vers une adresse de messagerie gratuite. Ou bien l'e-mail vient de la vraie adresse de votre directeur, mais Répondre à pointe vers un autre domaine. Ce dernier cas se voit souvent dans la fraude au président : un « paiement urgent » que le directeur demanderait depuis une réunion.

La webmail vous aide un peu. Si l'adresse de l'expéditeur contient des caractères qui ressemblent à des lettres ordinaires sans en être, la webmail affiche au-dessus du message un avertissement indiquant que le message contient des adresses e-mail qui ne sont peut-être pas dignes de confiance. Si vous voyez cet avertissement, considérez l'e-mail comme suspect. Si vous ne le voyez pas, cela ne signifie rien : la plupart des e-mails de phishing utilisent tout simplement un autre domaine.

Et retenez de la leçon 2.2 : un e-mail qui passe correctement SPF, DKIM et DMARC peut tout de même être du phishing. L'attaquant utilise alors son propre domaine, bien réel.

Que faire d'un e-mail suspect

Ne pas cliquer, ne pas répondre, ne pas ouvrir de pièce jointe. Même pas « pour voir ».
Aller vous-même sur le site. L'e-mail concerne votre banque, votre fournisseur ou un colis ? Ouvrez le site ou l'application comme vous le faites toujours, via un favori ou en tapant vous-même l'adresse. S'il n'y a rien, l'e-mail était faux.
En cas de doute, appelez, à un numéro que vous aviez déjà, pas un numéro figurant dans l'e-mail.
Signalez l'e-mail. Dans la webmail de WebOké, avec Signaler un spam : le message est envoyé à l'équipe anti-spam de WebOké et dans votre dossier Pourriels. Si l'e-mail concerne votre banque, transférez-le aussi à l'adresse de signalement de cette banque. En France, vous pouvez signaler les e-mails de phishing à Signal Spam (https://www.signal-spam.fr/) et trouver de l'aide sur Cybermalveillance.gouv.fr (https://www.cybermalveillance.gouv.fr/).
Prévenez vos collègues si l'e-mail a été envoyé à d'autres personnes de votre organisation.

Vous avez quand même cliqué ou saisi vos identifiants ?

Cela peut arriver à tout le monde. Agir vite fait la plus grande différence.

Changez immédiatement votre mot de passe, depuis un appareil de confiance, ainsi qu'à tout autre endroit où vous utilisiez le même mot de passe.
Activez la vérification en deux étapes (leçon 8.1).
Recherchez des traces dans votre boîte mail. Les attaquants qui accèdent à une boîte mail créent souvent un filtre qui transfère ou masque des e-mails, ou modifient Répondre à dans votre identité. Vérifiez dans Paramètres > Filtres, Paramètres > Identités et dans Avis d’absence s'il s'y trouve quelque chose que vous n'avez pas créé vous-même.
Vous avez saisi des données de paiement ? Appelez immédiatement votre banque.
Votre boîte mail envoie soudain du spam ? Signalez-le à votre fournisseur.

En pratique : comment cela fonctionne dans la webmail

Dans la webmail, survolez un lien pour voir l'adresse réelle en bas de votre navigateur. Avec Détails, vous voyez l'adresse de l'expéditeur, et dans la fenêtre de rédaction, vous voyez où va une réponse. Le bouton Signaler un spam se trouve au-dessus du message.

La fenêtre Signaler un spam avec la question Voulez-vous signaler ce message comme spam et les options en dessous — La fenêtre Signaler un spam

L'image montre la fenêtre qui s'affiche lorsque vous cliquez sur Signaler un spam. Le manuel Roundcube le décrit dans la partie Signaler un spam avec Signaler un spam. Dans d'autres webmails, comme Gmail ou Outlook.com, le fonctionnement est similaire : le bouton s'y appelle par exemple Signaler un hameçonnage ou Signaler.

Résumé

Le phishing joue sur l'urgence, la menace, un lien vers une page imitée et un expéditeur presque correct.
Le texte du lien et le lien réel diffèrent : survolez-le avec la souris ou appuyez longuement dessus sur votre téléphone.
Lisez le nom de domaine de droite à gauche ; tout ce qui se trouve devant est choisi par le propriétaire de ce domaine.
Un Répondre à vers un autre domaine et l'avertissement sur les adresses suspectes sont des signaux ; un contrôle DMARC réussi ne prouve rien quant à la fiabilité.
Ne pas cliquer, aller soi-même sur le site, signaler ; si vous avez cliqué : changer votre mot de passe et vérifier vos filtres et identités.

Quiz

Exercice

Exercice A2.4 : Analyser un e-mail suspect. Le fichier phishing-1.eml se trouve sous cet exercice. Ouvrez-le en tant que texte (par exemple dans le Bloc-notes ou TextEdit, pas dans votre logiciel de messagerie) et cherchez les en-têtes From et Reply-To ainsi que l'adresse derrière le bouton dans le contenu (le href). Indiquez : le véritable domaine de l'expéditeur, le domaine vers lequel mène réellement le bouton, le domaine de Répondre à, et choisissez si vous faites confiance à l'e-mail. Le programme compare vos réponses au corrigé et indique pour chaque question où vous auriez pu trouver l'information dans le fichier.

Pour aller plus loin

Lorsque des étapes dans la webmail sont décrites, elles s'appliquent à la webmail de WebOké ; dans d'autres webmails, le fonctionnement est similaire.

Cookies sur WebOké

Paramètres des cookies

Nécessaires

Marketing