L'en-tête email qui envoie votre réponse directement à un voleur

Voici une arnaque qui coûte plus d'argent aux entreprises américaines que les rançongiciels, les malveillances et les violations de données réunis, et elle n'implique généralement aucun malveillance. Pas de lien malveillant. Pas de pièce jointe infectée. Rien que votre antivirus puisse intercepter. Juste un email qui semble provenir de votre directeur financier, et une réponse qui se dirige tranquillement ailleurs.

Cet ailleurs est le piège. Et il réside dans un champ d'en-tête que presque aucun client email ne vous montre.

Le champ s'appelle Répondre à. Il fait partie de la norme de messagerie internet depuis le début — RFC 5322 le définit comme l'adresse où les réponses « devraient » aller, distincte de l'adresse De. Dans un usage légitime, c'est banal et utile. Une infolettre est envoyée depuis noreply@company.com mais définit Répondre à sur support@company.com pour que vos questions arrivent à un humain. C'est tout. C'est le travail honnête.

La compromission de messagerie professionnelle transforme cette commodité en arme. Au lieu du travail technique difficile consistant à usurper une adresse De — ce qui déclenche les alarmes SPF, DKIM et DMARC et entraîne un signalement — l'attaquant s'enregistre simplement sur un domaine d'apparence similaire ou un Gmail jetable. Il définit ensuite le nom d'affichage sur « Karen Vasquez, Directrice financière » pour que votre boîte de réception affiche un nom humain familier en gras. L'adresse De réelle pourrait être karen.vasquez.finance@gmail.com, mais vous ne voyez pas ça ; vous voyez « Karen Vasquez ». Et surtout, il définit Répondre à sur une adresse qu'il contrôle.

Vous lisez l'email. Il est court, plausible, un peu urgent. « Êtes-vous à votre bureau ? J'ai besoin que vous traitiez un virement avant la fermeture de la banque. » Vous cliquez sur répondre. Votre client, étant utile, adresse votre réponse à Répondre à — pas à De. Vous êtes maintenant en communication avec l'attaquant, et chaque message que vous envoyez confirme que vous avez mordu à l'hameçon.

L'ampleur ici n'est pas une erreur d'arrondi. Le Centre de plaintes contre la criminalité sur Internet du FBI a enregistré 2,9 milliards de dollars de pertes BEC signalées en 2023 seulement, dans le cadre de plus de 21 000 plaintes. C'est le chiffre signalé, de la part de personnes qui ont remarqué et déposé plainte. Le chiffre réel est plus élevé, car un virement qui se dénoue ressemble à un mardi normal jusqu'à la réconciliation.

Ce qui rend cela exaspérant, c'est que la défense est juste là et cachée. Chaque client de messagerie connaît la valeur Répondre à. Presque aucun ne la met en évidence. Gmail réduit l'expéditeur à un nom d'affichage et un petit chevron que vous devez cliquer. Outlook cache les adresses réelles sous « Afficher la source » ou un dialogue de propriétés que la plupart des gens n'ont jamais ouvert. Le seul champ qui révèle l'arnaque est celui que l'interface traite comme du bruit.

Alors prenez l'habitude. Avant de répondre à quoi que ce soit impliquant de l'argent, des coordonnées bancaires modifiées, ou de l'urgence, dépliez l'en-tête. Dans Gmail, cliquez sur la flèche vers le bas à côté du nom de l'expéditeur et lisez la ligne « reply-to » réelle. Si De dit une chose et Répondre à pointe vers une boîte aux lettres différente, arrêtez-vous. Cette discordance est rarement innocente dans un email financier.

Mieux encore, ne répondez pas du tout. Commencez un nouveau message à l'adresse que vous avez déjà enregistrée pour cette personne, ou appelez à un numéro que vous n'avez pas obtenu du message. Les attaquants comptent sur le fait que vous restiez à l'intérieur du fil qu'ils ont construit.

L'élégance sinistre de cette arnaque, c'est qu'elle passe tous les contrôles automatisés en ne violant aucune règle. L'adresse De est techniquement réelle. Le domaine s'authentifie bien. Rien n'est falsifié. Le mensonge n'est pas dans la tuyauterie — il est dans la seule ligne que votre logiciel a décidé que vous n'aviez pas besoin de voir.