Reconnaître un email de phishing
Avant d'apprendre à sécuriser un serveur, apprenons à ne pas se faire piéger par un simple email
Petite vérification
Avant de commencer, vérifiez si vous savez encore répondre à ces 3 questions très simples, sur la séance précédente :
- citer la commande Python qui génère un mot de passe aléatoire sécurisé
- pourquoi ne faut-il jamais réutiliser le même mot de passe sur plusieurs sites ?
- qu'est-ce qu'une phrase de passe (passphrase) ?
📌 Réponse attendue
TP pour réfléchir et résoudre des problèmes
Votre défi pour aujourd'hui consiste à repérer, dans deux emails reçus, tout ce qui trahit une tentative de phishing
Les trois emails étudiés dans ce TP sont fictifs, construits pour l'exercice. Les domaines
utilisés (amaz0n-securite-verification.ru, paypal-support-client.fr, joliciel.com...)
ne correspondent à aucun site réel : ne les visitez jamais en dehors de ce TP. Le troisième email
(étape 3) imite la mise en page d'un vrai fournisseur (Infomaniak) uniquement pour reproduire le
niveau de réalisme d'un vrai mail de phishing : il ne provient évidemment pas réellement
d'Infomaniak.
Étape 1 — Analyser un premier email, assez grossier
Voici un email reçu dans une boîte mail :
De : service-securite@amaz0n-support.com
Objet : URGENT - Votre compte a été suspendu !!!
Cher client,
Nous avons détecté une activité suspecte sur votre compte. Votre compte sera
définitivement supprimé dans 24 heures si vous ne confirmez pas vos informations.
Cliquez ici pour vérifier votre compte : http://amaz0n-securite-verification.ru/confirm
Cordialement,
L'équipe Amazon
Listez tous les indices qui vous semblent suspects dans cet email.
📌 Réponse attendue
Étape 2 — Analyser un second email, plus soigné
Voici un second email, plus difficile à repérer :
De : support@paypal-service-client.fr
Objet : Confirmation de votre dernier paiement
Bonjour,
Nous confirmons la réception de votre paiement de 89,99 € pour "Carte cadeau Steam".
Si vous n'êtes pas à l'origine de cette transaction, contactez-nous immédiatement
en cliquant sur ce lien pour annuler la transaction :
https://paypal-support-client.fr/annuler-transaction
L'équipe PayPal
Comparez-le avec le premier email : qu'est-ce qui le rend plus difficile à repérer, et quel indice reste malgré tout décisif ?
📌 Réponse attendue
Étape 3 — Analyser un vrai mail de phishing, reçu dans votre propre messagerie
Cette fois, pas d'email fictif affiché directement dans ce cours : avant cette séance, un email imitant une tentative de phishing a été envoyé à votre adresse de messagerie réelle (kMail ou ProtonMail selon votre établissement). Contrairement aux deux emails précédents, très simples, ce troisième email reproduit la mise en forme soignée (logo, mise en page en tableau, bouton coloré) des vrais mails de phishing actuels, qui imitent de plus en plus fidèlement un fournisseur connu.
📌 Mail envoyé par le professeur
- Connectez-vous à votre vraie messagerie (kMail ou ProtonMail), et retrouvez cet email réellement reçu.
- Dans le volet de lecture (la partie de l'écran qui affiche le contenu de l'email), amenez le pointeur de la souris au-dessus du bouton « Consulter le document », sans cliquer, et laissez-le immobile quelques secondes.
- Observez l'adresse qui s'affiche en bas à gauche de la fenêtre du navigateur (la barre de statut) : c'est la destination réelle du lien, votre messagerie étant affichée dans votre navigateur, exactement comme n'importe quelle page Web.
- Essayez aussi l'autre méthode, qui fonctionne sans même avoir à survoler : clic droit sur le bouton, puis "Copier l'adresse du lien". Collez ensuite cette adresse dans un éditeur de texte pour l'examiner tranquillement, sans jamais l'avoir ouverte dans un onglet.
- Listez tous les indices suspects de cet email reçu, même s'il est bien plus soigné visuellement que les deux précédents (expéditeur, domaine réel du lien, urgence, demande).
📌 Réponse attendue
Étape 4 — Savoir réagir, dans les 2 situations
Pour chacune des deux situations suivantes, indiquez le bon réflexe :
- vous recevez un email comme ceux des étapes 1 et 2, mais vous n'avez encore rien cliqué ;
- vous avez déjà cliqué sur le lien et saisi votre mot de passe avant de réaliser votre erreur.
Plutôt que de cliquer sur un lien reçu par email, ouvrez un nouvel onglet et tapez vous-même l'adresse officielle du service (ou utilisez un favori déjà enregistré). C'est le réflexe le plus fiable, quel que soit le niveau de ressemblance de l'email reçu.
📌 Une solution
Notions théoriques
Les deux emails que vous venez d'analyser ne sont pas des cas isolés : ils illustrent une technique d'attaque extrêmement répandue, qu'il est essentiel de savoir reconnaître.
Le phishing, une attaque qui vise l'humain, pas la machine
Le phishing (ou hameçonnage) est une technique qui consiste à se faire passer pour un expéditeur de confiance (une entreprise, une administration, un collègue) pour pousser une victime à révéler une information sensible : mot de passe, numéro de carte bancaire, ou à cliquer sur un lien malveillant.
Contrairement à une attaque purement technique (une faille logicielle, par exemple), le phishing exploite des réflexes humains : la confiance, l'urgence, la peur de perdre quelque chose. C'est ce qu'on appelle l'ingénierie sociale.
Les indices qui trahissent presque toujours un email de phishing
| Indice | Ce qu'il faut observer |
|---|---|
| Expéditeur | Le nom de domaine correspond-il vraiment à l'entreprise annoncée ? |
| Urgence | L'email crée-t-il artificiellement une menace ou un délai très court ? |
| Lien | L'adresse réelle du lien (vue au survol) correspond-elle au texte affiché ? |
| Formule de politesse | Est-elle générique (« Cher client ») plutôt que personnalisée ? |
| Demande | L'email demande-t-il une information sensible (mot de passe, carte bancaire) ? |
Vous avez déjà appliqué ces 5 critères aux étapes 1 et 2 du TP, sur deux emails de niveaux de sophistication très différents.
Pourquoi un email bien écrit n'est pas forcément rassurant
Le second email du TP (imitant PayPal) montre qu'un email de phishing peut être parfaitement rédigé, sans aucune faute ni logo déformé. Les attaques les plus récentes sont de plus en plus soignées, parfois rédigées à l'aide d'outils automatisés.
L'absence de faute d'orthographe n'est jamais une preuve de légitimité. Seul le nom de domaine réel de l'expéditeur et des liens reste un indice fiable.
Que faire en cas de doute, ou après avoir déjà cliqué
La bonne pratique la plus simple reste de ne jamais cliquer sur un lien reçu par email pour se connecter à un compte : ouvrir soi-même un nouvel onglet, et taper l'adresse officielle du service.
Si le clic a déjà eu lieu et qu'un mot de passe a été saisi, le réflexe prioritaire est de changer immédiatement ce mot de passe, partout où il aurait pu être réutilisé.
Un email de phishing reçu sur une adresse professionnelle ou scolaire se signale généralement directement depuis le client mail (bouton « Signaler comme hameçonnage » ou équivalent). Ce signalement aide aussi à protéger les autres destinataires du même email.