read receipts
Votre antivirus n'a jamais eu une chance contre un email vierge
L'arnaque qui a vidé $2,9 milliards des entreprises américaines l'année dernière ne contenait pas un seul virus. Elle contenait une ligne d'objet et une demande.
Une employée du service de la paie d'une entreprise de taille moyenne reçoit un email du PDG. Pas de pièce jointe. Pas de lien. Juste cinq lignes lui demandant d'effectuer un virement urgent à un nouveau fournisseur avant la limite de midi, et s'il vous plaît, restez discret, nous finalisons l'acquisition. Elle vire $180,000. Le PDG ne l'a jamais envoyé. Et chaque logiciel de sécurité que l'entreprise a payé n'a vu absolument rien d'anormal, car il n'y avait rien à voir.
C'est la compromission du courrier électronique professionnel, et c'est le crime le plus coûteux de votre boîte de réception de loin. Le Centre de plaintes pour cybercriminalité de l'FBI a enregistré $2,9 milliards en pertes déclarées de BEC en 2023 seul. Les ransomwares, la chose dont tout le monde panique, la chose avec les graphiques de crâne et les minuteurs à rebours? Ils ont enregistré environ $59,6 millions en pertes déclarées cette même année. BEC les surpasse d'un facteur de près de cinquante. L'un de ces crimes fait les gros titres. L'autre prend votre argent.
La raison pour laquelle l'antivirus échoue ici est presque gênante. Les scanneurs de malware fonctionnent en examinant le code — une pièce jointe, un exécutable, une macro cachée dans une feuille de calcul. Ils le comparent à des signatures connues comme malveillantes ou observent son comportement dans un bac à sable. Un email BEC vous présente une note en texte brut écrite sur le ton de votre patron. Il n'y a pas de charge utile à déclencher. L'arme est une phrase.
Ce qui signifie que la défense ne peut pas être un scanner. Elle doit être une habitude, et cette habitude vit dans les en-têtes.
Voici le détail révélateur que la plupart des gens ne cherchent jamais. Le champ From et le champ Reply-To sont deux choses différentes, et les escrocs exploitent l'écart. La ligne From affiche un nom et une adresse de confiance — ceo@yourcompany.com, orthographié correctement. Mais au moment où vous cliquez sur répondre, le message s'achemine discrètement vers ceo.finance@gmail-secure-mail.com ou un domaine jetable que l'attaquant contrôle réellement. Votre réponse, avec la confirmation du virement, se dirige droit vers le criminel. Le nom d'affichage a menti. Le Reply-To a dit la vérité.
Donc entraînez-vous à développer l'en-tête avant d'agir sur toute demande d'argent. Dans Gmail, cliquez sur la petite flèche sous le nom de l'expéditeur. Dans Outlook, ouvrez les détails du message. Si Reply-To ne correspond pas à From, arrêtez. Si le domaine s'écarte d'un caractère — rn se faisant passer pour m, un .co là où vous attendiez .com — arrêtez.
La version plus sophistiquée ne se donne même pas la peine d'usurper votre propre domaine. Elle usurpe l'identité d'un véritable fournisseur que vous payez déjà. L'attaquant reste assis sur un compte de fournisseur compromis pendant des semaines, lit le fil de conversation réel de la facture, puis envoie un email au moment parfait : « Nous avons mis à jour nos coordonnées bancaires, veuillez utiliser le nouveau compte. » Cette variante est brutale précisément parce que l'email est authentique — il provient de la véritable boîte de réception compromise du fournisseur. SPF, DKIM et DMARC passent tous correctement, car le message provient véritablement de l'endroit d'où il prétend provenir. L'authentification confirme l'expéditeur. Elle ne peut pas confirmer l'honnêteté de l'expéditeur.
C'est la vérité inconfortable en dessous de tout cela : toute l'arnaque repose sur la confiance et la précipitation, deux choses qu'aucune base de données de signatures ne peut mesurer. Un PDG qui « n'utilise jamais le courrier électronique comme ça » le fait soudainement. Un fournisseur qui vous a facturé de la même façon pendant trois ans change soudainement de compte. La demande arrive toujours avec une raison que vous ne pouvez pas vérifier avant midi.
Alors vérifiez par un autre canal. Appelez le numéro que vous avez déjà — pas celui de l'email. Un appel téléphonique de dix secondes a défait des virements de six chiffres de façon plus fiable que n'importe quel produit avec un pare-feu dans son nom. Les escrocs parient que vous ne décrocherez pas le téléphone. Prouvez-leur qu'ils ont tort.