Un faux email « Support PayPal » peut passer tous les contrôles de sécurité auxquels on vous a dit de faire confiance

Oui, un email usurpé peut traverser DMARC sans problème alors que la ligne From affiche « PayPal Support » ou « Chase Fraud Department ». Les trois protocoles à trois lettres que tout le monde cite comme preuve qu'un email est authentique — SPF, DKIM, DMARC — ne vérifient que le domaine d'envoi et la signature cryptographique. Le nom d'affichage, le morceau lisible sur lequel votre œil se pose en premier, n'est jamais contrôlé. Le badge de confiance protège le champ que personne ne regarde.

Un email usurpé peut-il vraiment passer DMARC avec un faux nom d'affichage ?

Il le peut, et la raison en est inscrite dans la norme. RFC 7489, la spécification DMARC, stipule explicitement qu'elle concerne uniquement le domaine dans l'en-tête « RFC5322.From » — la partie après le signe @. Elle ne dit rien sur le nom d'affichage, l'étiquette en texte libre qui vient avant l'adresse. Donc un attaquant qui contrôle un domaine ordinaire comme support-team-alerts.com, met en place les bons enregistrements SPF et DKIM, et envoie depuis billing@support-team-alerts.com obtiendra une validation DMARC impeccable. Il lui suffit de définir le nom d'affichage sur « PayPal Service ». Authentification techniquement irréprochable. Présentation complètement malhonnête.

La plupart des clients de messagerie aggravent ensuite les choses. Les téléphones en particulier affichent le nom convivial et masquent l'adresse complètement jusqu'à ce que vous la touchiez. Vous voyez « PayPal Service » ; l'adresse support-team-alerts.com réelle se cache derrière un chevron que vous ne presserez jamais.

Que vérifie réellement DMARC, alors ?

DMARC vérifie que le domaine dans l'en-tête From correspond à un domaine que l'expéditeur est autorisé à utiliser — et rien au-delà. SPF confirme que l'IP du serveur d'envoi figure sur la liste approuvée du domaine. DKIM ajoute une signature cryptographique liée à un domaine. Le rôle de DMARC est l'« alignement » : il s'assure que le domaine validé par SPF ou DKIM correspond au domaine From visible, pour que vous ne puissiez pas passer l'authentification sur evil.com en prétendant être paypal.com.

C'est genuinely utile. C'est pourquoi l'usurpation d'identité pure et simple des grandes marques est devenue plus difficile, et pourquoi Google et Yahoo ont commencé à exiger DMARC pour les expéditeurs en masse en février 2024. Mais M3AAWG, le groupe industriel qui rédige les directives d'authentification des expéditeurs, est clair : ces protocoles authentifient le domaine, non l'intention ou la formulation. L'enveloppe peut être réelle tandis que le message est un mensonge.

Pourquoi le nom d'affichage s'en tire-t-il indemne ?

Parce que l'email a été conçu avant que quiconque n'imagine qu'il déplacerait de l'argent, et le nom d'affichage a été pensé pour être convivial, pas vérifié. C'est une étiquette de courtoisie. Il n'existe pas de registre de qui peut s'appeler « Apple Billing », aucune vérification contre les marques déposées, rien. Vous pouvez définir le vôtre au nom du Pape. Les normes de messagerie le traitent comme une décoration, donc les étapes d'authentification le contournent simplement.

C'est aussi ainsi qu'une catégorie croissante d'escroqueries fonctionne : l'usurpation du nom d'affichage associée à un domaine contrefait qui paraît légitime. Le Centre de plainte sur la criminalité Internet du FBI a enregistré plus de $2,9 milliards de pertes liées à la compromission des emails professionnels en 2023 — et le BEC s'appuie fortement sur exactement ce stratagème, un nom qui inspire confiance sur une adresse que la cible n'examine jamais. Les protocoles ont tous réussi. L'argent a quand même disparu.

Comment lire réellement la ligne From maintenant ?

Arrêtez de lire le nom et lisez l'adresse. Sur ordinateur, survolez ou cliquez pour agrandir l'utilisateur@domaine complet et posez-vous une question : est-ce le domaine que la véritable entreprise utilise, lettre pour lettre ? PayPal envoie depuis paypal.com, pas depuis paypal-secure.net ou service-paypal.com. Sur mobile, touchez l'expéditeur pour révéler l'adresse avant de toucher autre chose.

Puis un deuxième contrôle : cette organisation vous adresserait-elle un message générique et vous pousserait-elle vers un lien de connexion plutôt qu'une exigence à laquelle vous ne vous attendiez pas ? C'est la partie qu'aucun en-tête ne vérifie. C'est aussi là que le filtrage IA gagne ses galons — des outils comme la détection de spam de xmail comparent le nom d'affichage au domaine authentifié et mettent en évidence la divergence, au lieu de faire confiance à l'étiquette conviviale de la façon dont votre œil le fait. Une validation DMARC vous dit que le domaine est ce qu'il prétend être. Elle ne vous a jamais dit que le nom l'était.

@@END@@