Imaginez : vous recevez un email de [email protected] qui vous demande de cliquer sur un lien pour confirmer vos identifiants. Vous êtes pressé, ça ressemble à du Microsoft, vous ne prenez pas le temps de vérifier… et vous tombez dans le piège. Voilà, vous êtes victime de spoofing. Et ce n’est pas fini : le même principe s’applique aussi aux appels téléphoniques dont le numéro affiché paraît légitime, ainsi qu’aux SMS de double authentification qui se font rediriger vers l’attaquant.
Dans cet article, on décortique comment tout cela est possible, pourquoi ça marche, et comment s’en protéger.
1. Spoofing d’email : quand « [email protected] » n’est pas vraiment Microsoft
1.1. Le protocole SMTP, le grand coupable
L’envoi d’emails repose principalement sur un vieux protocole (SMTP) qui, soyons honnêtes, n’a pas été conçu pour la sécurité à la base. Du coup, quand vous balancez un email, rien n’empêche techniquement de coller n’importe quoi dans la case « Expéditeur ». C’est un peu comme si, dans la vraie vie, vous postiez une lettre en inscrivant un faux nom au dos de l’enveloppe.
1.2. Des outils de triche à portée de clic
De nos jours, tout est disponible sur le Net : il existe des scripts, des services en ligne (souvent illégaux, bien sûr) qui vous permettent de taper l’adresse d’envoi que vous voulez, genre « [email protected] », « [email protected] » et compagnie. Résultat : la victime voit un beau courriel qui semble tout droit venir d’une entité sérieuse… et se fait avoir.
1.3. Les boucliers (SPF, DKIM, DMARC) et pourquoi ils ne sont pas toujours activés
Heureusement, il existe trois super-alliés :
- SPF (Sender Policy Framework) : enregistre dans le DNS quels serveurs sont autorisés à envoyer des mails pour un domaine.
- DKIM (DomainKeys Identified Mail) : un système de signature qui garantit que l’email vient bien du bon endroit.
- DMARC (Domain-based Message Authentication, Reporting & Conformance) : la cerise sur le gâteau, qui dit « si ça ne colle pas avec SPF ou DKIM, vous jetez l’email ou vous le marquez comme suspect ».
Sauf que… beaucoup de domaines ne les utilisent pas correctement, ou alors certains serveurs de messagerie ne les vérifient pas à 100 %. Bref, les failles restent béantes.
2. Spoofing téléphonique : pourquoi on reçoit des appels de « sa propre banque » alors que c’est un arnaqueur ?
2.1. Le numéro affiché n’est pas un gage de confiance
Un jour, vous voyez s’afficher sur votre téléphone un numéro de votre opérateur télécom ou de votre banque. Vous décrochez, on vous appelle par votre nom, on vous parle d’un souci urgent sur votre compte… Panique totale, vous donnez tout de suite vos informations. Et bim ! Ce n’est pas votre banque, c’est un pirate qui a juste falsifié le numéro pour qu’il ressemble à celui de la banque.
2.2. La magouille technique derrière le Caller ID
Quand un appel est émis, il passe par des protocoles (le SS7 pour les réseaux traditionnels, la VOIP pour la téléphonie internet). Malheureusement, il est souvent possible de bidouiller l’ID de l’appelant, et beaucoup d’opérateurs ne valident pas vraiment l’authenticité du numéro envoyé. Du coup, sur votre écran, ça peut afficher n’importe quoi.
2.3. Les conséquences désastreuses
- Usurpation d’entreprise : on fait croire qu’on est le service client de votre banque, de votre FAI, etc., et on récupère vos infos perso.
- Chantage/menaces : on se fait passer pour la police, un avocat, votre patron… histoire de vous soutirer de l’argent ou de la donnée sensible.
3. Quand la double authentification (2FA) par SMS se fait plomber
3.1. La 2FA n’est pas infaillible
La double authentification, c’est cool : en plus d’un mot de passe, vous recevez un code par SMS. Sauf que si un cybercriminel parvient à récupérer ce SMS, votre compte est dans la poche de l’attaquant. Et vous pensiez pourtant être hyper protégé.
3.2. Les différents scénarios d’arnaque
- Redirection illégale des SMS : avec un peu de social engineering, l’attaquant peut convaincre votre opérateur de rediriger vos textos vers son téléphone.
- SIM Swapping : l’escroc appelle l’opérateur, fait semblant d’être vous (il a peut-être volé quelques infos persos), et hop, obtient une nouvelle carte SIM liée à votre numéro. Le temps que vous vous rendiez compte, il a déjà tous les codes d’authentification en main.
- Failles SS7 : le protocole SS7, qui relie les réseaux mobiles du monde entier, a des vulnérabilités connues. Un attaquant un peu pointu peut détourner vos SMS sans jamais toucher physiquement votre téléphone.
3.3. Des conséquences qui piquent
Votre compte mail, votre application bancaire, votre messagerie pro : tout ce qui est « protégé » par un code envoyé par SMS, l’attaquant peut désormais y accéder. Et vous ne voyez rien venir, car vous êtes persuadé que ce moyen est sûr et fiable.
4. Les astuces pour se défendre
- Pour les propriétaires de domaines : SPF, DKIM et DMARC
Activez-les correctement et assurez-vous que vos serveurs mail vérifient ces normes. Ça ne rend pas impossible l’usurpation, mais ça complique sérieusement la vie des arnaqueurs. - Gardez votre sang-froid face à un email
- Vous avez un gros doute ? Regardez l’en-tête complète du mail (le « header »).
- Si le message parle d’urgences absolues, de menaces ou de gains fabuleux… méfiance !
- Évitez de cliquer sur le moindre lien : ouvrez plutôt un nouvel onglet, tapez vous-même l’URL officielle du service.
- Optez pour une 2FA plus solide
- Les apps d’authentification (comme Aegis que je recommande) sont moins vulnérables au détournement que le SMS.
- Les clés physiques U2F (type Yubikey) sont encore plus fiables.
- Lire le chapitre 4 du Sirius Cyber Guide sur le sujet
- Méfiez-vous des appels téléphoniques bizarres
- Quand une banque (ou un opérateur) vous appelle, ne vous laissez pas embarquer direct. Vous doutez ? Raccrochez et rappelez via le numéro officiel trouvé sur le site web ou votre contrat.
- Ne donnez jamais vos données sensibles (mot de passe, code de validation, etc.) à quelqu’un qui vous appelle à l’improviste.
- Soyez attentif aux signes d’arnaque sur votre téléphone
- Perte subite de réseau sans raison (et pas de souci d’antenne) ? Appelez vite votre opérateur, ça pourrait être un SIM Swapping.
- Sensibilisez votre entourage
- Expliquez à vos proches, à vos collègues : si chacun adopte les bons réflexes, l’escroquerie aura plus de mal à se propager.
Conclusion
Le spoofing, c’est l’art de faire croire qu’on est quelqu’un d’autre, que ce soit par email, par téléphone ou même via SMS. Et ça marche parce que les protocoles initiaux (SMTP, SS7) n’étaient pas conçus pour être hyper-sécurisés à l’échelle moderne.
Mais pas de panique : en connaissant comment les attaquants procèdent et en adoptant des réflexes simples (vérifier l’expéditeur, privilégier les 2FA sur applis, rappeler soi-même l’organisme officiel, etc.), on peut déjouer la plupart de ces tentatives. L’éducation et la prudence restent nos meilleures défenses.
Avec ces conseils, vous êtes à présent mieux armé contre le spoofing ! Soyez vigilant, propagez la bonne parole, et n’oubliez pas : en sécurité informatique, la méfiance est souvent un gage de tranquillité.
Newsletter
Recevez ma newsletter mensuelle afin de ne rien rater. Inscrivez-vous ici :
