Gmail lit vos reçus avant vous, et les arnaqueurs le savent

Cette jolie carte en haut de votre boîte de réception montrant que votre commande Amazon arrivera jeudi n'a pas été créée par une IA qui lit dans vos pensées. Gmail a trouvé un bloc de balisage schema.org que l'expéditeur a caché dans le HTML de l'email, l'a analysé et a dessiné la carte pour vous. Ce qui signifie qu'un arnaqueur qui colle le même balisage peut faire ressembler une fausse commande à une confirmation tout aussi légitime qu'une vraie.

Comment Gmail sait-il qu'un colis arrive avant que vous lisiez l'email ?

L'expéditeur le lui dit, dans un langage lisible par machine que Gmail lui demande de parler. La documentation des développeurs de Google pour le balisage email est explicite : les commerçants et les compagnies aériennes intègrent des données structurées en utilisant le vocabulaire schema.org, soit sous forme de JSON-LD soit de microdata, à l'intérieur du HTML du message. Une confirmation de commande porte un objet Order avec des champs comme orderNumber, orderStatus, et un ParcelDelivery imbriqué avec expectedArrivalUntil et une URL de suivi. Un vol porte une FlightReservation avec l'aéroport de départ, la porte, l'heure d'embarquement.

Le parseur de Gmail lit ces champs et les affiche sous forme de mises en évidence en haut de la boîte de réception et à l'intérieur du message. Aucune IA ne « comprend » vos plans de voyage. Il lit des données étiquetées de la même façon qu'un navigateur lit un champ d'adresse. L'intelligence est presque entièrement dans le HTML de l'expéditeur, pas dans la boîte noire de Google.

Pourquoi cela rend-il les fausses commandes plus convaincantes, et non moins ?

Parce que le balisage n'est que du texte, et le texte se copie. Il n'y a aucun lien cryptographique entre « cette carte dit que votre commande a été expédiée » et « cette commande est réelle ». Le processus d'enregistrement des schémas de Google vérifie le volume et le formatage de l'expéditeur avant d'activer les cartes enrichies à grande échelle, mais le JSON-LD sous-jacent se trouve en plain sight dans chaque confirmation légitime que vous ayez jamais reçue. Ouvrez-en une, affichez la source, et le voilà.

Un arnaqueur récupère ce bloc, remplace le lien de suivi et le numéro de commande par les siens, et l'envoie. Si le message passe l'authentification, Gmail peut joyeusement dessiner une belle carte « arrive bientôt » au-dessus d'un email qui n'est que de l'appât. La confiance visuelle que vous avez accumulée au fil d'une centaine de vraies livraisons est empruntée gratuitement. La carte semble officielle parce que le format est officiel. Le contenu est ce que l'expéditeur a tapé.

Qu'est-ce qui sépare réellement une vraie confirmation d'une fausse ?

Pas la carte. Les en-têtes d'authentification dessous. Trois vérifications décident si un expéditeur est bien qui il prétend être : SPF confirme que le serveur d'envoi est autorisé pour le domaine, DKIM est une signature cryptographique sur le corps du message, et DMARC dit aux destinataires quoi faire quand SPF ou DKIM échouent. Google et Yahoo en ont fait une obligation pour quiconque envoie plus de 5 000 messages par jour à leurs utilisateurs à partir de février 2024. Les envoyeurs en masse sans un DMARC valide sont rejetés ou mis au dossier indésirable.

C'est la couche qui mérite confiance, et c'est celle qu'aucune carte ne vous montre. Dans Gmail, ouvrez le message, frappez le menu à trois points, choisissez « Afficher l'original », et cherchez PASS sur SPF, DKIM et DMARC. Un email forgé « commande expédiée » qui usurpe l'identité d'un vrai commerçant échouera généralement DKIM ou provient d'un domaine qui n'est pas aligné. La belle carte ne peut pas mentir sur les dates de livraison ; les en-têtes ne peuvent pas mentir sur qui l'a envoyé. Des outils qui lisent ces en-têtes pour vous, y compris la détection d'arnaque dans l'email IA comme xmail, vérifient la même chose, juste plus vite que vous ne le feriez à la main.

Que devez-vous faire quand une carte de colis surprise s'affiche ?

Faites confiance au suivi que vous avez initié, pas au suivi qui vous est arrivé à l'improviste. Si une carte prétend une livraison dont vous ne vous souvenez pas avoir commandé, ne tapez pas sur son lien. L'URL de suivi à l'intérieur du balisage forgé est tout l'intérêt de l'arnaque, menant souvent à une page « payez ces frais de douane » ou « confirmez votre adresse » qui récolte les détails de la carte. Le U.S. Postal Inspection Service et la FTC ont tous deux mis en garde à plusieurs reprises contre les faux SMS de livraison et les emails faisant exactement cela.

À la place, allez directement chez le commerçant ou le transporteur, tapez l'adresse vous-même, et collez le numéro de suivi là-bas. Si la commande n'existe pas dans votre vrai compte, la carte était du théâtre. Et si vous voulez un indice avant même de cliquer : un vrai email d'expédition provient presque toujours d'un domaine avec lequel vous avez transigé et passe DMARC. Un forgé est souvent envoyé depuis un domaine qui ressemble à un vrai mais échoue l'alignement, avec une carte dessus comme un uniforme emprunté.