Les filtres antispam bloquent une part massive des courriers indésirables, mais les mails de phishing les plus élaborés passent encore entre les mailles. Mesurer l’efficacité réelle des protections disponibles permet de cibler les failles qui subsistent et d’y répondre par des actions précises.
SPF, DKIM et DMARC : comparatif des protocoles anti-phishing
Trois protocoles d’authentification constituent le socle technique contre l’usurpation d’identité par mail. Ils ne remplissent pas le même rôle et ne couvrent pas les mêmes risques.
A lire aussi : Quelle est la meilleure application de sécurité ?
| Protocole | Fonction | Limite principale |
|---|---|---|
| SPF | Vérifie que le serveur expéditeur est autorisé à envoyer pour le domaine | Ne protège pas contre un domaine visuellement proche (typosquatting) |
| DKIM | Signe cryptographiquement le message pour garantir son intégrité | Ne bloque pas un compte légitime compromis |
| DMARC | Définit une politique de traitement quand SPF ou DKIM échouent | Inefficace contre les domaines imitateurs ou les QR codes intégrés |
Depuis février 2024, Gmail et Yahoo imposent SPF, DKIM et une politique DMARC aux expéditeurs en masse, ainsi qu’un mécanisme de désabonnement en un clic. Cette exigence a réduit le volume de spam reçu sur ces messageries.
Un domaine correctement configuré avec ces trois protocoles empêche l’usurpation exacte de son adresse. Mais une politique DMARC, même en mode strict, ne bloque pas un domaine proche créé par un attaquant (par exemple « banqe-exemple.fr » au lieu de « banque-exemple.fr »). DMARC ne protège pas contre le typosquatting ni les comptes compromis.
A découvrir également : Quelles informations sont exemptées du RGPD ?
Phishing par QR code : une technique qui contourne les filtres de messagerie
Les campagnes récentes de phishing exploitent un angle mort des outils de filtrage. Les attaquants insèrent des QR codes dans le corps du mail ou dans des pièces jointes, redirigeant la victime vers de fausses pages de connexion.
Les filtres classiques analysent les URL visibles dans le texte d’un message. Un QR code, traité comme une image, échappe à cette analyse. Le destinataire scanne le code avec son téléphone, sort du périmètre de protection de sa messagerie professionnelle et atterrit sur une page frauduleuse sans qu’aucune alerte ne se déclenche.
Pour se prémunir contre cette technique, deux réflexes suffisent :
- Ne jamais scanner un QR code reçu par mail sans vérifier l’expéditeur et le contexte du message, même si le mail semble provenir d’un service connu
- Vérifier l’URL affichée par le téléphone avant de l’ouvrir : un domaine inconnu ou comportant une faute de frappe signale un piège
- Signaler le mail à votre service informatique ou à Signal Spam si le QR code vous paraît suspect, car ces signalements alimentent les bases de données de filtrage
Bloquer et signaler les mails phishing : les actions concrètes par messagerie
Chaque fournisseur de messagerie propose des outils natifs pour bloquer un expéditeur et signaler un courrier indésirable. L’efficacité de ces outils dépend directement de leur utilisation régulière par les destinataires.
Sur Gmail, un clic sur les trois points à droite du message ouvre les options « Signaler comme phishing » et « Bloquer l’expéditeur ». Sur Outlook, le clic droit propose « Marquer comme courrier indésirable » et « Bloquer l’expéditeur ». Ces actions entraînent le système de filtrage de la messagerie : chaque signalement améliore la détection pour l’ensemble des utilisateurs du service.
Au-delà du blocage dans la messagerie, signaler un mail de phishing sur la plateforme Signal Spam (signal-spam.fr) permet de transmettre le message aux autorités compétentes. Ce signalement nourrit les listes de blocage partagées entre fournisseurs d’accès français.
Vérifier les en-têtes du mail avant de cliquer
L’adresse affichée dans le champ « De » ne correspond pas toujours à l’adresse réelle de l’expéditeur. Afficher les en-têtes complets du message (option disponible dans tous les clients mail) révèle le domaine d’envoi effectif.
Un mail prétendument envoyé par votre banque mais dont l’en-tête indique un domaine générique ou un serveur inconnu est un signal clair de phishing. L’adresse d’expédition réelle se vérifie dans les en-têtes, pas dans le nom affiché.
Phishing-as-a-service et actions légitimes détournées : les angles d’attaque récents
Le phishing ne repose plus uniquement sur des mails grossiers truffés de fautes. Les campagnes récentes utilisent des kits de phishing prêts à l’emploi, commercialisés sous forme de service (phishing-as-a-service). Ces kits reproduisent à l’identique l’interface de connexion de services courants.
La tendance la plus difficile à détecter consiste à demander à l’utilisateur une action qui paraît normale : valider une authentification multifacteur, approuver une notification push ou confirmer un changement de mot de passe. Le phishing récent exploite des actions légitimes détournées, pas des liens suspects.
Cette évolution rend les filtres techniques partiellement insuffisants. Un dispositif complet combine :
- L’authentification des domaines (SPF, DKIM, DMARC) pour bloquer l’usurpation directe
- La surveillance des domaines visuellement proches du vôtre, pour détecter le typosquatting avant qu’il ne serve à une campagne
- L’authentification multifacteur résistante au phishing (clés physiques FIDO2 plutôt que codes SMS), car un code SMS peut être intercepté via une fausse page de connexion
- Des procédures de vérification hors mail pour toute demande sensible (virement, changement de coordonnées bancaires), par exemple un appel téléphonique au numéro habituel du contact
Les mails de phishing les plus performants ne se distinguent plus visuellement d’un message authentique. La protection repose moins sur la capacité à repérer un mail suspect que sur la mise en place de barrières techniques et de réflexes de vérification systématiques, à chaque étape de la chaîne.
