Aujourd’hui, la plupart des utilisateurs connaissent les attaques de phishing classiques et savent donc les éviter. Les cybercriminels se sont donc tournés vers des méthodes plus insidieuses. L’email spoofing, une forme de spear phishing, consiste à usurper l’identité d’une personne que la cible connaît. C’est un moyen beaucoup plus subtil de compromettre les identifiants ou l’appareil d’un utilisateur. Comme pour le phishing, toutefois, il suffit de connaître les signes d’un e-mail usurpé et de former les autres utilisateurs à les repérer pour régler le problème assez facilement.
🎥Regardez la vidéo What is Email Spoofing ? pour un aperçu visuel de cet article.
L’email spoofing, qu’est-ce que c’est ?
L’email spoofing, ou usurpation d’adresse e-mail, désigne l’envoi d’un e-mail dans lequel l’attaquant se fait passer pour quelqu’un d’autre, généralement une personne que le destinataire connaît. Il s’agit souvent d’un supérieur, d’un manager ou d’un dirigeant de la même entreprise. Grâce aux en-têtes d’e-mail, le logiciel de messagerie de l’utilisateur affiche une adresse e-mail qui semble légitime aux yeux du commun des mortels, peu enclin à examiner l’adresse de près si le nom lui est familier.
Comme les utilisateurs font confiance aux personnes de leur entreprise, ils ont de fortes chances d’exécuter l’action demandée dans l’e-mail. Il peut s’agir d’un simple clic sur un lien malveillant qui installe un malware, ou de l’achat de plusieurs centaines d’euros de cartes-cadeaux à envoyer à une adresse indiquée. Cette technique ressemble au phishing, mais les deux attaques restent distinctes. Les e-mails de phishing visent aussi à diffuser des malwares ou à compromettre des utilisateurs, mais leur objectif premier est le vol. Les e-mails de spoofing, au contraire, ne sont que des usurpations d’identité pouvant mener à des attaques de phishing. Les attaques par email spoofing peuvent également réclamer les identifiants de l’utilisateur : s’ils sont communiqués, la sécurité et les données de l’entreprise sont en danger.
Découvrez un autre type de spoofing en informatique : le geo-spoofing.
Le fonctionnement de l’email spoofing
Les attaquants parviennent à falsifier des adresses e-mail en raison du manque de sécurité du Simple Mail Transfer Protocol (SMTP), qui ne prend en charge ni le chiffrement, ni l’authentification, ni d’autres mesures de sécurité comparables. Si vous utilisez Gmail ou Outlook, par exemple, vous utilisez le SMTP : il n’est donc pas difficile pour un attaquant de trouver et de compromettre un serveur SMTP. Une fois qu’il dispose d’un serveur, l’attaquant commence à modifier l’en-tête d’un e-mail.
L’en-tête comporte un champ réservé à l’identité de l’expéditeur (Mail From). Comme le SMTP ne prévoit aucun protocole d’authentification, un attaquant peut très facilement modifier l’adresse e-mail indiquée dans la ligne Mail From. Il doit toutefois tenir compte de quelques détails : le domaine utilisé est-il légitime, ce domaine bénéficie-t-il d’une mise en quarantaine ou d’une autre protection, et le serveur SMTP a-t-il été configuré correctement ? S’il néglige ces points, l’e-mail atterrira dans le dossier de spam de la victime.
Cela dit, si l’attaquant dispose d’un serveur correctement configuré et choisit un domaine exploitable, l’opération est simple. Il modifie l’adresse de l’expéditeur, rédige un e-mail qui semble provenir d’une personne de confiance, vérifie que les commandes ou les prompts présents dans le code ont bien été adaptés à la nouvelle adresse d’expéditeur (ou utilise simplement un outil en ligne, s’il veut vraiment se faciliter la tâche), et l’email spoofing est lancé.
Comment reconnaître un e-mail usurpé
Puisque ces stratagèmes d’email spoofing sont si simples, il n’est pas étonnant qu’ils soient de plus en plus fréquents. Pour contrer ces attaques, l’une des meilleures choses à faire est d’apprendre à les repérer et de former les utilisateurs des environnements que vous gérez. Voici les éléments à examiner lorsque vous ouvrez un e-mail.
- L’exactitude de la signature : si la politique de l’entreprise impose une signature d’e-mail précise, un message provenant d’un autre employé ou d’un supérieur doit en comporter une. Vérifiez d’abord qu’une signature est bien présente, puis contrôlez les détails. Assurez-vous par exemple que l’adresse e-mail de la signature correspond à celle de la ligne Mail From, et vérifiez l’indicatif du numéro de téléphone. Si tous vos bureaux se trouvent dans la même région mais que le numéro provient d’une autre, cela peut être un signal d’alerte.
- Une adresse e-mail mal orthographiée : avant de cliquer sur les pièces jointes ou de répondre à l’e-mail, jetez un rapide coup d’œil à la ligne Mail From. Si un domaine familier comme bestbuy.com est écrit betsbuy.com, il s’agit d’un e-mail usurpé.
- Une adresse e-mail générique : de nombreuses attaques par email spoofing utilisent des domaines légitimes dans leurs adresses, mais il arrive que l’expéditeur n’y consacre ni temps ni effort. Vous pouvez alors recevoir un e-mail depuis une adresse Gmail, Outlook ou un autre domaine générique qui ne correspond manifestement ni au domaine ni aux conventions de votre entreprise.
- Le contenu de l’e-mail : tous les e-mails urgents ne sont pas usurpés, mais un message qui cherche à vous alarmer ou vous pousse à agir immédiatement doit être considéré comme suspect.
Conséquences et risques de l’email spoofing
Le problème de l’email spoofing, c’est qu’il est à la fois très facile à mettre en place pour les attaquants et très convaincant pour l’utilisateur moyen. Si vous ne traitez pas la question, votre entreprise subira très rapidement un incident de sécurité qui pourrait coûter très cher.
Votre entreprise risque de verser des sommes importantes à des attaquants en supposant que leurs demandes sont légitimes. Si un employé communique ses identifiants, les données confidentielles de l’entreprise sont en danger. Les utilisateurs, qu’il s’agisse de vos clients ou de vos employés, s’exposent à un risque accru d’usurpation d’identité et de pertes financières après toute violation commise par un acteur malveillant.
Techniques de prévention contre l’email spoofing
Il est important de former les utilisateurs à éviter les e-mails usurpés, mais cela ne suffit généralement pas à protéger votre entreprise. L’erreur humaine est à l’origine de la grande majorité des incidents de sécurité signalés : les mesures préventives suivantes peuvent donc s’avérer nécessaires pour limiter votre risque d’attaque réussie.
- SPF (Sender Policy Framework) : le SPF n’est pas la solution la plus sophistiquée, mais c’est un bon point de départ pour filtrer les e-mails illégitimes. Il fonctionne à l’aide d’un enregistrement joint aux e-mails, qui identifie les serveurs autorisés de votre domaine. Le serveur destinataire doit alors déterminer, sur la base de cet enregistrement, si l’e-mail peut être acheminé.
- DMARC (Domain-based Message Authentication, Reporting & Conformance) : plus complet que le SPF, le DMARC fournit à la fois l’enregistrement que le serveur destinataire peut analyser et les instructions à suivre si l’e-mail ne satisfait pas aux contrôles de ce serveur. Il demande également des rapports, une fonction utile si vous souhaitez en savoir plus sur les e-mails qui transitent par vos serveurs.
- DKIM (DomainKeys Identified Mail) : le DKIM se concentre sur l’authentification. La bonne nouvelle, c’est qu’il est plus sûr que certaines autres options ; la mauvaise, c’est que vous pouvez casser votre messagerie si vous configurez mal le DKIM. Cette méthode de prévention nécessite elle aussi des enregistrements, mais elle publie en plus des signatures pour vérifier la légitimité des messages.
- Filtrage des e-mails et protection avancée contre les menaces : déployer des solutions de filtrage des e-mails pour détecter et bloquer les messages usurpés constitue une autre bonne mesure préventive. Les filtres repèrent notamment les liens suspects, certains mots ou expressions courants dans les spams, et la réputation de l’adresse IP de l’expéditeur. Une fois la détection effectuée, le filtre déplace l’e-mail dans un dossier distinct pour signaler qu’il n’est peut-être pas légitime. De plus, la mise en place d’une protection avancée contre les menaces, une application cloud plus sensible qu’un filtre traditionnel, permet de réduire encore le nombre d’e-mails illégitimes que vous et vos collègues recevez.
Se prémunir contre les dangers du spoofing
Comme souvent en informatique, mieux vaut prévenir que guérir. Tout ce que vous pouvez faire pour réduire votre risque d’email spoofing, et les attaques de phishing qui en découlent souvent, vous fera gagner du temps et de l’argent sur le long terme. Ne mettez pas en péril la santé financière de votre entreprise ni les informations privées de vos clients. Recourez à des méthodes de prévention comme le filtrage, la protection avancée, le SPF, le DKIM et le DMARC pour assurer une sécurité e-mail robuste et vous protéger contre les messages usurpés.
En définitive, la meilleure façon de prévenir l’email spoofing passe par la sensibilisation. Les méthodes de prévention sont utiles, mais certains e-mails usurpés parviennent tout de même jusqu’à vos utilisateurs. Dès lors que les équipes de votre entreprise connaissent la menace et savent quoi surveiller, elles peuvent agir pour éviter et prévenir activement les risques de sécurité, et ainsi garantir la sécurité de votre entreprise et de ses données.
L’email spoofing n’est qu’une tactique parmi d’autres. Découvrez comment sécuriser vos serveurs de messagerie face à un éventail de menaces plus large dans notre vidéo : Email Server Security Best Practices.
