Comment fonctionne l’usurpation d’adresse électronique

Le protocole central du courriel, SMTP, a été conçu au début des années 1980 pour un réseau restreint et fiable de chercheurs. Il n’intègre aucune authentification de l’expéditeur.

Cette hypothèse de confiance initiale explique pourquoi l’usurpation de courriel est si facile aujourd’hui. Toute personne capable d’établir une communication SMTP avec un serveur de messagerie peut se faire passer pour qui elle veut, à moins que des protections supplémentaires (SPF, DKIM, DMARC) ne soient ajoutées.

Un concept essentiel : un courriel possède en réalité deux ensembles d’adresses, qui peuvent être différents.

• Enveloppe (MAIL FROM) — utilisée par les serveurs de messagerie pour acheminer le message et gérer les retours ; l’utilisateur ne la voit jamais
• En-tête de l’expéditeur — la ligne « De : » affichée dans le client de messagerie

L’usurpation exploite cet écart : l’en-tête visible de l’expéditeur peut contenir n’importe quelle adresse, quelle que soit l’identité réelle de l’expéditeur.

Comme SMTP ne vérifie pas l’identité, un attaquant peut simplement définir l’en-tête de l’expéditeur avec une adresse de confiance. Un échange SMTP brut ressemble à ceci :

Les courriels usurpés sont au cœur de grandes catégories d’attaques :

• Hameçonnage — inciter les utilisateurs à saisir leurs identifiants
• Compromission de messagerie professionnelle (BEC) — se faire passer pour un dirigeant afin d’autoriser des paiements frauduleux
• Diffusion de logiciels malveillants — pièces jointes qui semblent provenir d’un collègue

Un message qui semble provenir de votre CEO ou de votre banque a beaucoup plus de chances d’être considéré comme fiable et suivi d’effet.

L’usurpation de domaine exact falsifie l’en-tête de l’expéditeur pour utiliser votre véritable domaine, par exemple ceo@yourcompany.com.

C’est la forme la plus dangereuse, car l’adresse est parfaitement correcte et aucune faute de frappe ne permet de la repérer. Sans authentification du courriel, un serveur destinataire ne peut pas savoir que le message ne provient pas de votre véritable infrastructure.

SPF, DKIM et DMARC existent principalement pour empêcher l’usurpation de domaine exact.

Lorsque l’authentification bloque l’usurpation de domaine exact, les attaquants se rabattent sur des domaines ressemblants qu’ils possèdent et contrôlent réellement :

Même lorsque toutes les protections sont en place, les attaquants exploitent le nom affiché, le texte convivial présenté avant l’adresse.

De nombreux clients de messagerie, en particulier sur mobile, n’affichent que le nom et masquent l’adresse réelle. Ainsi, un courriel provenant de :

"Acme CEO" <random123@gmail>

peut simplement apparaître comme CEO d’Acme. L’adresse est légitime pour le service de messagerie de Google, donc l’authentification réussit, mais l’utilisateur est trompé. C’est un problème humain que l’authentification ne peut pas résoudre.

Pour examiner un message suspect, consultez ses en-têtes complets. Ils consignent le parcours suivi par le message et les résultats de l’authentification.

Les en-têtes Reçus forment une chaîne, qui se lit de bas en haut et montre chaque serveur par lequel le message est passé.

Les signaux d’alerte comprennent :

• Un serveur d’origine qui n’appartient pas à l’expéditeur revendiqué
• Une différence entre le chemin de retour et le domaine de l’expéditeur
• Des géolocalisations IP suspectes ou inattendues

Combinée à la ligne des résultats de l’authentification, la chaîne des en-têtes révèle souvent rapidement une falsification.

Trois normes complémentaires collaborent pour rendre les courriels fiables. Chacune comble une lacune différente :

• SPF — autorise les serveurs qui peuvent envoyer des courriels pour votre domaine (l’expéditeur de l’enveloppe)
• DKIM — signe les messages de manière cryptographique afin que toute altération ou falsification puisse être détectée
• DMARC — relie SPF et DKIM à l’en-tête visible de l’expéditeur et indique aux destinataires quoi faire en cas d’échec

Vous étudierez chacune de ces normes dans les trois prochaines leçons.

SPF, DKIM et DMARC empêchent l’usurpation de domaine exact des domaines que vous contrôlez. Ils n’empêchent pas :

• Les domaines ressemblants que l’attaquant possède et authentifie correctement
• La tromperie par le nom affiché
• Les comptes légitimes compromis qui envoient de véritables courriels authentifiés

L’authentification des courriels est essentielle, mais elle doit être associée à la sensibilisation des utilisateurs et au filtrage des messages entrants. La défense en profondeur s’applique également ici.

Évaluez votre compréhension de l’usurpation de courriel.

Vous avez appris pourquoi les courriels sont faciles à falsifier :

• SMTP n’intègre aucune authentification de l’expéditeur
• L’expéditeur de l’enveloppe et l’en-tête visible de l’expéditeur peuvent être différents
• L’usurpation facilite le hameçonnage, la BEC et la diffusion de logiciels malveillants grâce à des techniques reposant sur les domaines exacts, les domaines ressemblants et les noms affichés
• Les en-têtes des courriels et la ligne des résultats de l’authentification aident à examiner les falsifications
• SPF, DKIM et DMARC protègent ensemble contre l’usurpation de domaine exact, mais ne constituent pas une solution complète

Ensuite, vous apprendrez comment SPF autorise les serveurs d’envoi légitimes.