Publicité en cours de chargement...

Publicité en cours de chargement...

Publicité en cours de chargement...

Pourquoi les messages de phishing passent-ils encore les portes des anti-spams ?

16 jan. 2024 - 10:11,
Tribune - Charles Blanc-Rolin
Les campagnes de messages indésirables polluent nos messageries depuis de nombreuses années, « Green Card Lottery », celle qui restera dans l’histoire comme LA première campagne de spam de grande ampleur [1], fêtera ses 30 ans cette année ! Le premier spam aurait même été envoyé l’année de la création de la CNIL, en 1978 et aurait ciblé 393 messageries, sur ARPANET à l’époque [2].

De nombreux éditeurs se sont spécialisés depuis longtemps dans la lutte contre les messages indésirables, le spam tout d’abord, et désormais le phishing avec sa vocation malveillante.
Alors pourquoi les messages de phishing continuent de passer à travers les mailles du filet ?
Tout simplement car les attaquants sont malins !

Écartons les cas où ils utilisent des messageries déjà compromises pour tenter de piéger leurs victimes et observons quelques techniques en vogue.

1. L’achat de noms de domaines

Cette méthode n’est pas nouvelle, mais elle s’est vraiment développée depuis 2022. Acheter des noms de domaines assez proches de noms de domaines réels pour tromper les victimes en usurpant l’identité d’entités connues, et notamment d’établissements de santé est assez efficace pour passer les barrières des solutions de protection de la messagerie.

Les exemples ci-dessus sont extraits de la liste du projet Red Flag Domain, l’excellente initiative de Nicolas Pawlak dont le but est de référencer les noms de domaines français suspectés d’êtres achetés dans le but de réaliser des campagnes de phishing.

2. Abuser de noms de domaines pour lesquels aucune protection n’a été mise en place

Trouver un nom de domaine pour lequel la déclaration SPF [3] serait absente ou mal configurée, aucune clé pour la signature DKIM [4] et aucune politique DMARC [5] ne seraient déclarées au niveau DNS, en 2024, c’est encore possible, mais trouver un nom de domaine assez proche de celui d’une entité connue serait une véritable aubaine pour un attaquant !
C’est ce qu’il s’est passé le 25 décembre dernier lors d’une vaste campagne ayant ciblé les clients du registrar et hébergeur français Gandi.
Coup de chance, coup de génie ou les deux, le ou les attaquants derrière cette campagne ont usurpé l’identité de Gandi à l’aide du nom de domaine gandi[.]com, un domaine existant appartenant à une société américaine exerçant dans le secteur de l’immobilier :

Le message n’a pas été arrêté par les anti-spams, notamment sur les boîtes aux lettres hébergées chez Gandi lui-même !
Pas vraiment surprenant car le niveau de protection pour ce domaine est assez faible et la liste d’expéditeurs autorisés assez importante, comme il est possible de le constater sur l’outil mis à disposition par le service du HFDS des ministères économiques et financiers [6] :

Il était donc parfait pour réaliser une campagne de phishing à l’encontre des clients Gandi.

3. Utiliser des services gratuits qui permettent d’« usurper » une adresse de messagerie

Certains services permettent d’envoyer des messages au nom d’une personne, ou plutôt son adresse de courriel sans en vérifier la possession. C’était le cas jusqu’à il y a encore quelques mois sur le service de partage de fichiers Swiss Transfer. Les messages étaient émis par le serveur de messagerie de Swiss Transfer, avec une adresse expéditrice légitime (noreply[AT]swisstransfer.com), donc aucun souci pour les anti-spams, mais c’est dans le corps du message que se trouvait l’adresse du pseudo expéditeur, pour laquelle il était possible de saisir n’importe quelle adresse puisqu’aucune vérification n’était demandée. Un outil parfait pour piéger en masse !

Pour conclure, malgré les nouvelles mesures de protections et l’évolution constante des outils de protection, il ne sera jamais possible de trouver une solution technique qui arrêtera 100 % des messages non désirés. La sensibilisation des utilisateurs a donc encore de beaux jours devant elle.


[1] https://en.m.wikipedia.org/wiki/Laurence_Canter_and_Martha_Siegel 

[2] https://en.m.wikipedia.org/wiki/Spamming#History 

[3] https://fr.wikipedia.org/wiki/Sender_Policy_Framework 

[4] https://fr.wikipedia.org/wiki/DomainKeys_Identified_Mail 

[5] https://fr.wikipedia.org/wiki/DMARC 

[6] https://ssi.economie.gouv.fr/courriel 


L'auteur

Chef de projet sécurité numérique en santé - GCS e-santé Pays de la Loire Charles Blanc-Rolin est également vice-président de l’APSSIS (Association pour la promotion de la Sécurité des Systèmes d'Information de Santé)

 

Avez-vous apprécié ce contenu ?

A lire également.

Illustration Ce que nous enseigne la mégapanne électrique dans la péninsule ibérique

Ce que nous enseigne la mégapanne électrique dans la péninsule ibérique

05 mai 2025 - 23:11,

Tribune

-
Cédric Cartau

Impossible de l’avoir ratée, la mégapanne électrique chez nos amis espagnols et portugais. Cet incident est riche d’enseignements, et force est de constater qu’il n’y a pas que des mauvaises nouvelles. D’abord, selon nos informations à ce jour, il n’y a eu aucune victime : c’est une bonne nouvelle.

Illustration Un hôpital, sous-traitant, sanctionné pour ne pas avoir déclaré les sous-traitants ultérieurs

Un hôpital, sous-traitant, sanctionné pour ne pas avoir déclaré les sous-traitants ultérieurs

02 mai 2025 - 16:13,

Tribune

- Alexandre Fievee, Gaétan Dufoulon et Alice Robert de Derriennic Associés

Par décision du 10 avril 2025 [1], l’autorité de contrôle espagnole a infligé une amende de 500.000 euros à un hôpital qui avait recruté des sous-traitants ultérieurs sans en informer préalablement le responsable du traitement.

Illustration Éthicovigilance numérique : premiers signaux d’alerte dans la santé connectée

Éthicovigilance numérique : premiers signaux d’alerte dans la santé connectée

24 avril 2025 - 15:14,

Actualité

- DSIH

La Délégation au numérique en santé (DNS) publie le premier rapport d’activité de la Plateforme d’éthicovigilance du numérique en santé, un dispositif inédit lancé fin 2023 pour recueillir les signalements d’usagers et de professionnels confrontés à des enjeux éthiques liés aux technologies de santé...

Illustration Contourner les règles, faille cyber éternelle et consubstantielle à l’espèce humaine

Contourner les règles, faille cyber éternelle et consubstantielle à l’espèce humaine

21 avril 2025 - 19:07,

Tribune

-
Cédric Cartau

Récemment, un post sur LinkedIn racontait l’histoire suivante : un enseignant soucieux de repérer les élèves qui faisaient rédiger leur copie par ChatGPT transmettait ses consignes sous forme de fichiers PDF dans lesquels il incluait des morceaux de texte en caractères blancs, donc invisibles pour l...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.