Le phishing et l'authentification des mails
Pourquoi le phishing reste la première porte d'entrée, comment SPF, DKIM et DMARC authentifient un expéditeur, et comment analyser un mail suspect.
Elouan
Série Comprendre les attaques · article 2 sur 4
- La kill chain et MITRE ATT&CK
- Le phishing et l'authentification des mails
- Les rançongiciels, de l'intrusion à la rançon
- Vulnérabilités : CVE, CVSS et le Top 10 de l'OWASP
Malgré des années de sensibilisation et des filtres de plus en plus sophistiqués, le phishing reste l’une des premières portes d’entrée des attaquants. Parce qu’il vise une personne pressée, qui fait confiance à un nom ou à un logo. Pour se défendre, il faut comprendre à la fois comment un mail est authentifié, et pourquoi ça ne suffit pas.
Les formes du phishing
| Forme | Principe | Objectif |
|---|---|---|
| Lien vers une fausse page | Une page imite Microsoft 365, une banque, un transporteur | Voler des identifiants |
| Pièce jointe piégée | Document, archive, raccourci ou fichier HTML qui exécute du code | Installer un premier accès |
| Fraude au président / faux fournisseur | Un message (souvent sans lien ni pièce jointe) demande un virement ou un changement de RIB | Détourner de l’argent |
| Spear phishing | Un message ciblé, préparé avec des informations sur la victime | Viser une personne précise |
| Smishing, vishing, quishing | Par SMS, par téléphone, par QR code | Contourner les filtres de messagerie |
Dans MITRE ATT&CK, c’est la technique T1566, avec notamment T1566.001 (pièce jointe) et T1566.002 (lien).
Pourquoi on peut usurper un expéditeur
Le protocole de messagerie SMTP date des années 1980, et il ne vérifie rien : n’importe qui peut écrire n’importe quelle adresse dans le champ From. Il faut aussi savoir qu’un mail a deux expéditeurs :
- l’adresse d’enveloppe (
MAIL FROM, reprise dans l’en-tête Return-Path), utilisée par les serveurs pour les retours d’erreur ; - l’adresse affichée (
From:), celle que voit l’utilisateur.
Trois mécanismes, tous publiés dans le DNS du domaine expéditeur, ont été ajoutés pour authentifier l’origine des mails.
SPF : quels serveurs ont le droit d’envoyer
SPF (Sender Policy Framework) est un enregistrement TXT qui liste les serveurs autorisés à envoyer des mails pour un domaine.
exemple.fr. TXT "v=spf1 include:spf.protection.outlook.com ip4:203.0.113.25 -all"Le serveur qui reçoit le mail vérifie que l’adresse IP de l’expéditeur figure dans la liste. Le dernier terme dit quoi faire sinon : -all (échec), ~all (échec « doux »), ?all (neutre).
SPF ne regarde pas le From affiché
SPF vérifie le domaine de l’enveloppe (MAIL FROM), pas celui que voit l’utilisateur. Seul, il n’empêche donc pas d’usurper l’adresse affichée. C’est le rôle de DMARC.
DKIM : un mail signé
DKIM (DomainKeys Identified Mail) ajoute une signature numérique au mail (en-tête DKIM-Signature), calculée avec une clé privée du domaine expéditeur. La clé publique est publiée dans le DNS :
selector1._domainkey.exemple.fr. TXT "v=DKIM1; k=rsa; p=MIIBIjANBgkqh…"Le serveur destinataire vérifie la signature : elle prouve que le mail a bien été signé par le domaine indiqué (d=exemple.fr) et que les parties signées (corps, certains en-têtes) n’ont pas été modifiées en chemin. On retrouve ici la signature asymétrique vue dans la série Cryptographie.
DMARC : relier tout ça au From visible
DMARC fait deux choses :
- Il exige l’alignement : le domaine validé par SPF ou par DKIM doit correspondre au domaine du From affiché.
- Il indique au destinataire quoi faire si le contrôle échoue, et où envoyer des rapports.
_dmarc.exemple.fr. TXT "v=DMARC1; p=reject; rua=mailto:dmarc@exemple.fr; adkim=s; aspf=s"| Politique | Effet |
|---|---|
p=none | Ne bloque rien, permet seulement de recevoir des rapports |
p=quarantine | Les mails en échec vont dans les indésirables |
p=reject | Les mails en échec sont refusés |
La démarche classique
On commence par p=none pour observer qui envoie au nom du domaine (services marketing, outils de facturation…), on corrige SPF et DKIM pour tous les envois légitimes, puis on passe progressivement à quarantine puis à reject.
Ce que ces protections ne font pas
Authentifié ne veut pas dire honnête
Un mail peut passer SPF, DKIM et DMARC et être malveillant :
- l’attaquant envoie depuis son propre domaine sosie (
exemple-factures.fr), parfaitement configuré ; - il envoie depuis la vraie boîte compromise d’un fournisseur, d’un client ou d’un collègue. Ces mécanismes prouvent le domaine, pas l’intention.
Analyser un mail suspect
Les éléments à examiner, sans jamais cliquer ni ouvrir les pièces jointes sur son poste :
- Les adresses. Comparer From, Reply-To et Return-Path. Une réponse qui part vers une autre adresse que l’expéditeur affiché est un signal classique.
- Le résultat des contrôles. L’en-tête
Authentication-Resultsindiquespf=,dkim=etdmarc=(pass, fail…). - Le chemin. Les en-têtes Received se lisent de bas en haut : le plus bas est le premier serveur qui a pris en charge le message.
- Les liens. Le texte affiché et la vraie destination diffèrent souvent. On regarde le domaine réel, sa date de création, sa réputation, et la présence de redirections.
- Les pièces jointes. Type réel du fichier, présence de macros, archives protégées par mot de passe (pour échapper à l’analyse), fichiers HTML ou raccourcis. On calcule leur hash pour les rechercher dans les bases de réputation, et on les analyse dans un bac à sable.
- Le contenu. Urgence, autorité, changement de procédure (« nouveau RIB »), demande de confidentialité : ce sont les leviers classiques de l’ingénierie sociale.
Les signaux d’un faux changement de RIB
Un mail du « fournisseur habituel » annonce un nouveau RIB pour les prochains paiements. Il passe tous les contrôles techniques, parce qu’il vient de la vraie boîte du fournisseur, compromise. Le seul vrai rempart est organisationnel : toute modification de coordonnées bancaires se vérifie par téléphone, avec un numéro déjà connu, jamais celui indiqué dans le mail.
Se défendre
| Mesure | Effet |
|---|---|
| SPF, DKIM et DMARC en reject sur ses propres domaines | Empêche l’usurpation directe de son domaine |
| Filtrage et bac à sable des mails | Bloque une partie des liens et pièces jointes malveillants |
| Blocage des macros venant d’Internet | Supprime un vecteur historique majeur |
| MFA résistante au phishing (FIDO2, passkeys) | Bloque le vol d’identifiants, même par les proxys de phishing qui volent les sessions |
| Sensibilisation et exercices | Les utilisateurs signalent plus vite les tentatives |
| Bouton de signalement et traitement rapide | Les premiers signalements permettent de purger la campagne des autres boîtes |
| Procédures de vérification des paiements et des changements de RIB | Bloque la fraude au président et aux faux fournisseurs |
La double authentification classique ne suffit plus
Les kits de phishing modernes se placent entre la victime et le vrai site : la victime voit la vraie page, saisit mot de passe et code, et l’attaquant récupère le cookie de session. Les codes SMS et les notifications ne bloquent pas ce scénario. Les clés FIDO2 et les passkeys, liées au domaine, si.
L'essentiel
- Le phishing (T1566) reste l'un des principaux vecteurs d'accès initial : pièce jointe piégée, lien vers une fausse page de connexion, ou simple demande frauduleuse (fraude au président, faux RIB).
- SPF (enregistrement TXT) liste les serveurs autorisés à envoyer pour un domaine. Il vérifie l'adresse d'enveloppe (MAIL FROM), pas le From affiché.
- DKIM signe le mail avec une clé privée ; la clé publique est publiée dans le DNS (sélecteur._domainkey.domaine). Il prouve que le contenu signé n'a pas été modifié.
- DMARC relie SPF et DKIM au From visible (alignement) et dit quoi faire en cas d'échec : none (observer), quarantine, reject. Il permet aussi de recevoir des rapports.
- Un mail peut passer SPF, DKIM et DMARC et être malveillant : ces mécanismes prouvent le domaine expéditeur, pas l'honnêteté du message (domaine sosie, compte légitime compromis).
- Analyser un mail : lire les en-têtes Received de bas en haut, comparer From, Reply-To et Return-Path, regarder Authentication-Results, et examiner liens et pièces jointes sans les ouvrir.
- La MFA résistante au phishing (clés FIDO2, passkeys) bloque le vol d'identifiants, y compris par les proxys de phishing qui volent les sessions.
Idées reçues
Un mail passe SPF, DKIM et DMARC. Peut-on le considérer comme fiable ?
L'erreur courante. Répondre oui.
En réalité. Non. Ces contrôles prouvent seulement que le mail vient bien du domaine indiqué. Un attaquant peut utiliser son propre domaine sosie (correctement configuré), ou envoyer depuis la vraie boîte compromise d'un fournisseur. C'est le cas typique des fraudes aux faux RIB, qui passent tous les contrôles techniques.
SPF protège-t-il contre l'usurpation de l'adresse affichée dans le champ From ?
L'erreur courante. Répondre oui, c'est son rôle.
En réalité. Pas à lui seul. SPF vérifie l'adresse d'enveloppe (MAIL FROM ou Return-Path), que l'utilisateur ne voit pas. Un attaquant peut mettre une enveloppe dans son propre domaine (qui passe SPF) et un From affiché qui usurpe un autre domaine. C'est DMARC, avec l'alignement, qui fait le lien avec le From visible.
Une politique DMARC p=none protège-t-elle le domaine ?
L'erreur courante. Penser que publier DMARC suffit.
En réalité. Non, p=none demande seulement des rapports, sans bloquer quoi que ce soit. C'est une étape de départ pour observer qui envoie au nom du domaine. La protection vient avec p=quarantine puis p=reject, une fois tous les envois légitimes identifiés et alignés.
La double authentification classique (code SMS, notification) empêche-t-elle tout phishing de compte ?
L'erreur courante. Répondre oui.
En réalité. Non. Les kits de phishing en homme du milieu relaient la page de connexion réelle en temps réel : la victime saisit son mot de passe et son code, et l'attaquant récupère le cookie de session. Seules les méthodes liées au domaine, comme FIDO2 et les passkeys, résistent à ce type d'attaque. Il faut aussi surveiller les connexions et les sessions anormales.
Tester ses connaissances
Références
- Social Engineering : The Science of Human Hacking (2e éd.)Christopher Hadnagy · Wiley
- Phishing Dark WatersChristopher Hadnagy, Michele Fincher · Wiley