La fausse facture qui a réussi tous les tests de spam

Un fournisseur auquel vous avez versé des paiements une douzaine de fois vous envoie une nouvelle facture. Même logo, même gestionnaire de compte, même formule de politesse. La seule différence est une ligne enfouie dans l'en-tête de l'e-mail — et cette ligne a simplement redirigé votre paiement de 48 000 $ vers un inconnu dans un autre pays.

C'est la partie de la fraude au courrier électronique dont personne ne vous avertit : les factures dangereuses ne sont pas les mal ficelées. Ce sont les propres. Un escroc qui s'introduit dans un vrai compte de messagerie d'entreprise n'a pas besoin de rien falsifier. Le courrier part du domaine authentique, signé avec de vraies clés. SPF passe. DKIM passe. DMARC passe. Votre filtre anti-spam hausse les épaules et le laisse passer, car mathématiquement parlant, c'est un courrier légitime. Ça l'est. C'est juste que c'est envoyé par la mauvaise personne.

C'est pourquoi la compromission du courrier professionnel est l'arnaque la plus coûteuse qui soit, et de loin. Le centre des plaintes en matière de criminalité Internet du FBI a enregistré environ 2,9 milliards de dollars de pertes liées aux BEC en 2023 seul — des virements qui sont partis sur la base d'un e-mail qui avait l'air, par chaque mesure automatisée, complètement inoffensif. Pas de malware. Pas de lien douteux. Juste une demande crédible de mise à jour des détails de paiement, envoyée depuis une boîte de réception qui avait été discrètement piratée.

Alors si la note de spam ne vous sauvera pas, qu'est-ce qui le fera ?

Deux lignes d'en-tête que vous pouvez lire en moins d'une minute : Reply-To et Return-Path.

Voici la différence, en termes simples. L'adresse From est celle que vous voyez sur le devant de l'enveloppe. Return-Path c'est où vont les messages de rebond si la livraison échoue — le « sender » technique auquel le serveur destinataire tient vraiment. Et Reply-To c'est l'adresse à laquelle votre réponse est discrètement envoyée quand vous cliquez sur le bouton. Comme l'explique DMARC.org, ces adresses peuvent légitimement différer, ce qui est exactement ce qui les rend utiles comme indicateur. Sur un courrier honnête d'un fournisseur, les trois s'alignent généralement sous le même domaine. Sur une arnaque par compte piraté, l'attaquant laisse souvent l'adresse From intacte — elle doit faire crédible — mais glisse un Reply-To pointant ailleurs. accounts@yourvendor.com sur le devant, accounts.yourvendor@gmail.com sur la réponse. Domaines différents. Parfois décalés d'un seul caractère.

L'attaquant fait cela pour une raison simple. Il peut contrôler la boîte de réception compromise maintenant, mais il ne veut pas que votre réponse atterrisse dans la boîte de réception du vrai propriétaire, où le vrai employé remarquerait une facture qu'il n'a jamais envoyée. Il redirige donc la conversation vers une adresse qu'il contrôle entièrement. Cette redirection est l'empreinte digitale.

La trouver prend environ 20 secondes. Dans Outlook, ouvrez le message et utilisez Fichier → Propriétés pour voir les en-têtes Internet ; Microsoft documente le format complet des en-têtes si vous voulez lire chaque ligne. Dans Gmail, cliquez sur le menu trois points et choisissez Afficher l'original. Cherchez Reply-To: et Return-Path:. Si l'un ou l'autre pointe vers un domaine qui n'est pas celui de l'expéditeur — ou vers un compte webmail gratuit quand vous attendriez un compte professionnel — arrêtez. Ne répondez pas à l'e-mail. Appelez le fournisseur sur un numéro que vous aviez déjà, pas un indiqué dans le message.

Rien de cela ne nécessite d'être technique. Cela nécessite d'être méfiant envers exactement les e-mails qui ne déclenchent aucune alerte. Une coche verte de votre filtre signifie que le message n'a pas été falsifié. Cela ne dit rien sur qui détient les clés du compte qui l'a envoyé.

Les arnaque qui vident les comptes en 2024 ne ressemblent pas à des arnaque. Elles ressemblent à un mardi ordinaire. L'en-tête c'est là que le mensonge doit encore vivre.