Ce dont vous avez besoin
Le message lui-même (ne répondez pas, ne cliquez sur aucun lien et n'ouvrez aucune pièce jointe), un moyen d'afficher sa source dans votre client de messagerie et cinq minutes. Tout le côté analyse s'exécute sur ce site : l'analyseur d'en-têtes lit le texte collé, et l'analyse forensique des e-mails lit un .eml ou un .msg Outlook enregistré sans le téléverser.
Lire le résultat
Voici un extrait d'en-têtes d'une usurpation typique, tel que l'analyseur les afficherait :
Authentication-Results: mx.example.org;
spf=pass smtp.mailfrom=bounce.example.net;
dkim=pass header.d=example.net;
dmarc=fail (p=NONE) header.from=example.com
From: "Example Bank Security" <[email protected]>
Return-Path: <[email protected]>
Reply-To: <[email protected]>
Au premier regard, SPF et DKIM sont tous deux en pass. Mais ils le sont pour example.net, un domaine que contrôle l'attaquant, alors que le lecteur voit example.com dans la ligne From. DMARC est la vérification qui compare les deux, et elle a échoué. La politique p=NONE explique pourquoi le message a été livré malgré tout : example.com n'a publié DMARC qu'en mode surveillance. Le Reply-To qui pointe vers un autre domaine encore est un second signal d'alerte, car votre réponse irait à l'attaquant.
Un message authentique de la même banque indiquerait spf=pass smtp.mailfrom=example.com ou dkim=pass header.d=example.com, et dmarc=pass header.from=example.com.
Pour la chaîne Received, lisez le tableau de bas en haut. Le saut le plus bas est l'endroit où le message est entré dans le système de messagerie. Si un message censé venir d'une banque européenne apparaît d'abord sur une adresse IP résidentielle d'un autre continent, cela pèse plus lourd que n'importe quel en-tête pris isolément.
Pièges courants
- Se fier au nom affiché. « Example Bank Security » est un texte libre. Seuls comptent l'adresse et les résultats d'authentification.
- Se fier à n'importe quelle ligne Authentication-Results. Seule celle apposée par votre propre fournisseur compte. C'est normalement la plus haute et elle nomme le serveur de votre fournisseur (
mx.example.orgci-dessus). Un attaquant peut ajouter plus bas une fausse ligne « tout est pass ». - Prendre « pass » pour « sûr ». Un criminel peut enregistrer un domaine sosie comme
examp1e.comet y configurer un SPF, un DKIM et un DMARC parfaits. Comparez le domaine lettre par lettre ; l'onglet Analyse de l'expéditeur de l'analyse forensique des e-mails signale le punycode et les caractères confondables. - Lire le résumé de l'analyseur comme un verdict. La carte Sécurité ne compte que les en-têtes d'authentification présents, pas leur résultat. Lisez toujours les vraies valeurs
spf=,dkim=etdmarc=. - Imputer un simple transfert à des attaquants. Un message transféré échoue souvent à SPF, et les listes de diffusion qui modifient l'objet cassent DKIM. Un échec sur une newsletter que vous vous transférez n'est pas la preuve d'une usurpation.
Pour aller plus loin
Si vous êtes propriétaire du domaine usurpé, publiez SPF et DKIM, puis DMARC, et durcissez la politique de p=none à p=reject comme l'explique L'authentification e-mail : SPF, DKIM et DMARC. Signalez le message avec le bouton d'hameçonnage de votre fournisseur pour que ses filtres en tirent des enseignements.