Messagerie et courriel : repérer un message frauduleux, chiffrement de bout en bout

Le courriel a plus de cinquante ans, et il est toujours l'un des principaux vecteurs d'hameçonnage. Il n'a pas été conçu pour être sûr : n'importe qui peut écrire n'importe quel nom dans le champ « expéditeur ». Cette leçon vous donne une méthode concrète pour inspecter un message suspect, et explique ce que veut dire « chiffrement de bout en bout » dans vos messageries.

Dans le premier chapitre, vous avez découvert les principes du phishing. Voyons maintenant, très concrètement, comment lire un courriel avec l'œil d'un enquêteur, sans devenir paranoïaque. Votre messagerie principale est la pièce maîtresse de votre sécurité : elle mérite une attention particulière.

Pourquoi le courriel est si facile à falsifier

Un courriel affiche à l'écran un nom d'expéditeur (« Service client ») et une adresse (service@exemple.fr). Le nom affiché est un simple texte librement choisi. Sans précaution, il est aussi aisé d'écrire « Votre banque » que « Jean Dupont ». L'adresse peut, elle aussi, être imitée de plusieurs façons : adresse très proche, domaine voisin, ou même adresse authentique « usurpée » si le domaine est mal protégé.

Des mécanismes techniques existent pour que les serveurs de messagerie vérifient l'authenticité d'un expéditeur (on les nomme SPF, DKIM et DMARC). Votre fournisseur de messagerie les applique en arrière-plan et classe en indésirable beaucoup de messages falsifiés. Mais ces protections ne sont pas parfaites, et ne détectent pas un message envoyé depuis un compte réellement piraté, ou depuis un domaine très ressemblant mais légitimement enregistré par le fraudeur.

La méthode d'inspection en six points

1. Le contexte

Attendiez-vous ce message ? Est-il cohérent avec vos habitudes (vous avez réellement une commande, un abonnement, un dossier en cours) ? Un message « de la banque » alors que vous n'y êtes pas client est évidemment suspect.

2. L'adresse de l'expéditeur

Regardez l'adresse complète, pas seulement le nom affiché. Sur la plupart des clients de messagerie, un clic sur le nom (ou sur « détails ») révèle l'adresse. Comparez le domaine (la partie après le « @ ») avec celui de l'organisme réel, en appliquant la lecture de domaine vue à la leçon 1.

3. Les liens

Survolez un lien avec la souris (ou appuyez longuement sur mobile) sans cliquer : l'adresse réelle s'affiche. Si elle diffère du texte du lien ou de l'organisme annoncé, c'est un signal fort. Mieux : ne cliquez pas et passez par votre signet ou l'application officielle.

4. Les pièces jointes

Méfiez-vous des pièces jointes inattendues, surtout les fichiers compressés, les documents bureautiques qui demandent d'« activer le contenu » ou les fichiers à double extension (par exemple « facture.pdf.exe »). Une facture ou une confirmation légitime se retrouve toujours aussi dans votre espace client en ligne.

5. La demande

Que vous demande-t-on réellement ? Se connecter, payer, confirmer des données, ouvrir un fichier, répondre rapidement ? Les demandes de saisie de mot de passe, de code ou de coordonnées bancaires par message sont des signaux d'alerte. Les vraies organisations évitent de vous demander des informations sensibles par courriel.

6. Le ton et la forme

Urgence, menace, récompense, formules génériques, appel à l'autorité, mise en page copiée mais légèrement différente (logo flou, pied de page incomplet). Aucun de ces éléments n'est une preuve, mais cumulés ils pèsent. N'oubliez pas qu'un message parfaitement rédigé peut aussi être frauduleux.

Indice	Poids	Que faire ?
Domaine de l'expéditeur incohérent	Fort	Ne pas répondre, signaler, supprimer
Lien dont la destination diffère de l'affichage	Fort	Ne pas cliquer
Demande de mot de passe, code ou coordonnées bancaires	Fort	Vérifier par un autre canal
Pièce jointe inattendue	Fort	Ne pas ouvrir, confirmer auprès de l'expéditeur par un autre canal
Urgence ou menace	Moyen	Ralentir et vérifier
Formule générique (« Cher client »)	Faible	Mettre en balance avec les autres indices
Fautes d'orthographe	Faible (et de moins en moins fiable)	Ne pas s'y fier seul

Que faire d'un message suspect ?

1. Ne cliquez sur rien, n'ouvrez aucune pièce jointe, ne répondez pas ;
2. Signalez-le : la plupart des messageries ont un bouton « signaler comme hameçonnage ». En France, vous pouvez aussi le signaler à la plateforme nationale dédiée au signalement des spams et des tentatives d'hameçonnage (voir chapitre 7). Au travail, signalez-le au service informatique selon la procédure interne ;
3. Supprimez-le ensuite ;
4. Si vous avez cliqué ou saisi des informations, agissez immédiatement : changez le mot de passe concerné, prévenez votre banque si des données de paiement sont en jeu, et reportez-vous à la leçon « Que faire en cas de piratage » (chapitre 7).

Le chiffrement de bout en bout : notions

Quand vous envoyez un message, il traverse plusieurs maillons : votre appareil, des serveurs, puis l'appareil du destinataire. Plusieurs niveaux de protection existent :

• Pas de chiffrement : le message peut être lu en chemin. C'est rare aujourd'hui ;
• Chiffrement en transit : le message est chiffré entre votre appareil et les serveurs (et entre serveurs), mais le fournisseur du service peut le lire sur ses serveurs. C'est le cas de la plupart des messageries de courriel classiques ;
• Chiffrement de bout en bout (E2EE, end-to-end encryption) : le message est chiffré sur votre appareil et ne peut être déchiffré que par l'appareil du destinataire. Même le fournisseur du service, qui transporte le message, ne peut pas le lire.

Analogie : en chiffrement en transit, vous remettez une lettre dans un coffre au facteur, qui la transfère dans son propre coffre : il en a la clé. En chiffrement de bout en bout, seul le destinataire possède la clé du coffre dans lequel vous mettez la lettre ; le facteur ne peut que la transporter.

Ce que le chiffrement de bout en bout protège

• Le contenu des messages contre l'écoute en chemin et contre la consultation par le fournisseur ;
• Les fuites de données chez le fournisseur : un pirate qui accède aux serveurs n'obtient que des données illisibles.

Ce qu'il ne protège pas

• Les métadonnées : qui parle à qui, quand, à quelle fréquence, depuis quel appareil, selon les services ;
• Un appareil compromis : si un logiciel espion lit votre écran, le chiffrement n'y change rien ;
• Une capture d'écran, une copie ou un transfert par le destinataire ;
• Une sauvegarde non chiffrée de vos conversations, qui peut contourner la protection ;
• Une usurpation d'identité : encore faut-il être sûr que l'interlocuteur est la bonne personne. Les messageries sérieuses permettent de comparer un code de vérification (code de sécurité) pour confirmer l'identité, utile pour les échanges sensibles.

Dans la pratique

• De nombreuses applications de messagerie instantanée récentes proposent le chiffrement de bout en bout, parfois par défaut, parfois en option. Vérifiez dans les paramètres ou la documentation de celle que vous utilisez ;
• Pour les courriels, le chiffrement de bout en bout existe (via des standards dédiés ou des services spécialisés), mais il reste peu répandu et plus complexe à utiliser. Pour une information très sensible (documents d'identité, données de santé), évitez d'en envoyer par courriel simple, et privilégiez un moyen de transmission sécurisé proposé par l'organisme, ou une pièce jointe protégée par un mot de passe communiqué par un autre canal ;
• Activez la vérification en deux étapes de vos messageries (pour empêcher le vol de votre compte) et masquez l'aperçu des messages sur l'écran verrouillé ;
• Soyez attentif aux messages éphémères et aux sauvegardes des conversations : un message qui disparaît du téléphone peut subsister dans une sauvegarde ;
• Dans les groupes, vérifiez régulièrement qui en fait partie.

À vous de jouer

Voici un courriel fictif : « De : Service Client (contact@exemple-livraison-rapide.com). Objet : Votre colis est suspendu. Bonjour cher client, votre colis ne peut être livré. Réglez 2,50 euros sous 24 heures sur ce lien, sinon il sera retourné. » Appliquez la méthode d'inspection en six points.

Voir une solution

1. Contexte : attendiez-vous un colis de cette enseigne ? Rien de précis (pas de numéro de suivi ni de nom de boutique).
2. Expéditeur : « Service Client » est un nom affiché sans valeur ; le domaine exemple-livraison-rapide.com n'est pas celui d'un transporteur identifié.
3. Liens : survoler avant tout ; ne pas cliquer.
4. Pièces jointes : aucune ici.
5. Demande : un paiement via un lien.
6. Ton : urgence (24 heures), menace de retour, formule générique.

Conclusion : message très probablement frauduleux. Ne pas cliquer, signaler comme hameçonnage, supprimer, et vérifier l'état de vos éventuelles commandes depuis les sites officiels.

Vous savez protéger vos échanges privés. Reste un espace public où vous êtes très exposé : les réseaux sociaux et l'empreinte numérique, sujet de la dernière leçon du chapitre.