Le spoofing email, c'est quoi exactement

Les trois couches où le spoofing peut agir

Un email a plusieurs « adresses d'expéditeur » distinctes, et le spoofing peut cibler chacune différemment :

• L'enveloppe SMTP (MAIL FROM) — l'adresse technique utilisée pour l'acheminement, généralement invisible pour l'utilisateur final.
• L'en-tête From: — l'adresse affichée dans le client mail, celle que la victime voit et sur laquelle elle fonde sa confiance.
• Le nom affiché (display name) — le nom en clair (« Direction Générale », « Support Client ») associé à l'adresse, parfois manipulé indépendamment de l'adresse elle-même pour tromper visuellement, même quand l'adresse réelle paraît suspecte à qui prendrait la peine de la lire.

Un attaquant sophistiqué peut jouer sur ces trois couches simultanément — une enveloppe technique cohérente, un From: usurpé, et un nom affiché rassurant — pour maximiser la crédibilité du message aux yeux d'une victime pressée qui ne lit jamais l'adresse complète.

Ce que le spoofing rend possible

Les conséquences pratiques du spoofing dépassent largement l'email isolé et gênant. C'est le mécanisme technique sous-jacent de la plupart des attaques par ingénierie sociale qui transitent par email :

• Le phishing générique — un email prétendant venir d'une banque, d'un service public, ou d'un fournisseur connu, poussant à cliquer un lien malveillant.
• La fraude au président (BEC) — un email semblant venir d'un dirigeant, demandant un virement urgent et confidentiel.
• L'usurpation de marque — des campagnes massives envoyées au nom d'une entreprise, endommageant sa réputation et exposant ses clients à la fraude.

Chacun de ces scénarios repose sur la même vulnérabilité de base : rien n'empêchait, historiquement, de mentir sur l'expéditeur.

Comment DMARC referme cette faille

DMARC, associé à SPF et DKIM, s'attaque directement à ce problème. SPF vérifie que le serveur d'envoi est autorisé pour le domaine ; DKIM vérifie que le contenu n'a pas été modifié en transit via une signature cryptographique ; DMARC relie les deux au domaine visible du From: et permet au domaine légitime de dire aux destinataires quoi faire du courrier qui échoue à cette vérification — l'ignorer, le mettre en indésirable, ou le refuser purement et simplement.

Pour qui découvre l'articulation de ces trois briques, SPF, DKIM et DMARC expliqués ensemble reprend la mécanique depuis la base. Le point clé à retenir ici : un domaine sans DMARC en politique d'application (p=quarantine ou p=reject) reste techniquement usurpable, exactement comme avant l'existence du protocole.

Le spoofing continue même avec DMARC : ce qu'il ne couvre pas

Il faut être honnête sur les limites. DMARC en p=reject empêche l'usurpation directe du domaine exact — personne ne peut plus envoyer un From: contact@exemple.fr falsifié qui atteigne la boîte de réception. Mais il ne couvre pas :

• Les domaines ressemblants (typosquatting) — exempl0.fr, exemple-secure.fr — qui sont des domaines différents, chacun avec sa propre configuration DMARC potentiellement absente.
• La manipulation du nom affiché — un attaquant peut afficher « Exemple Entreprise » sur une adresse Gmail quelconque ; DMARC ne s'applique qu'au domaine réel de l'adresse, pas au texte visible à côté.
• Les comptes légitimes compromis — si un attaquant obtient les identifiants d'une vraie boîte mail, DMARC n'a rien à y redire : le message part authentiquement authentifié.

C'est pourquoi une protection complète combine DMARC (contre l'usurpation directe du domaine) avec une vigilance humaine, une formation des équipes exposées aux virements et paiements, et des outils de détection de domaines ressemblants (contre le reste). Le sujet est développé dans se protéger de l'usurpation d'adresse email, qui couvre l'ensemble des angles d'attaque au-delà du seul DMARC.

Comment savoir si un domaine est spoofable aujourd'hui

La question se vérifie directement : un domaine sans enregistrement DMARC, ou avec un enregistrement en p=none, est spoofable — n'importe qui peut envoyer un email prétendant en venir, et la plupart des destinataires ne verront aucune alerte. C'est un test binaire et rapide à effectuer, sans nécessiter de compétence technique particulière — et c'est la première question à trancher avant même de choisir quelle politique DMARC viser.

Publier un enregistrement en p=none a d'ailleurs un second bénéfice, moins évident : il rend mesurable ce qui était invisible. En quelques jours, les rapports agrégés renvoyés par les destinataires montrent si quelqu'un tente réellement d'usurper le domaine, depuis où, et à quel volume. Beaucoup d'organisations se croient trop peu intéressantes pour être ciblées — jusqu'à ce que la première semaine de rapports prouve le contraire. Cette preuve chiffrée fait souvent plus pour débloquer les priorités et le budget en interne que n'importe quel avertissement abstrait sur le risque, et elle fournit la ligne de base qui servira plus tard, au moment de décider si les sources légitimes sont suffisamment alignées pour durcir la politique.

Un exemple concret, étape par étape

Pour rendre la mécanique tangible, voici ce qui se passe techniquement quand un attaquant spoofe un email, décomposé :

1. L'attaquant choisit sa cible — disons compta@entreprise-cible.fr, une adresse qu'il a repérée sur le site web de l'entreprise ou dans une signature d'email interceptée ailleurs.
2. Il configure son propre serveur d'envoi (ou utilise un service d'envoi en masse mal sécurisé) pour écrire cette adresse dans le champ From: du message qu'il s'apprête à envoyer. Aucune autorisation n'est demandée à cette étape — c'est un champ de texte libre.
3. Il rédige un message crédible — souvent en reprenant le ton et le format d'une vraie communication interne, parfois après avoir étudié l'organigramme de l'entreprise via LinkedIn ou d'autres sources publiques.
4. Le message part vers sa cible réelle, par exemple un comptable ou un assistant de direction.
5. Le serveur destinataire reçoit le message. Sans DMARC en application, il n'a aucun moyen fiable de vérifier que le domaine d'envoi correspond au domaine autorisé — le message est délivré normalement, avec l'apparence d'un email interne légitime.
6. La victime, voyant une adresse qui semble correcte, agit — clique un lien, ouvre une pièce jointe, ou pire, initie un virement suite à des instructions qui semblent venir de sa direction.

Chaque étape de cette chaîne est triviale à exécuter avec des outils publics et gratuits. C'est précisément cette absence de barrière technique qui explique pourquoi le spoofing reste, des décennies après l'invention de l'email, l'un des vecteurs d'attaque les plus utilisés — bien plus qu'un piratage nécessitant l'exploitation d'une faille logicielle rare et coûteuse à découvrir.

Pourquoi les attaquants préfèrent le spoofing au piratage

Un point souvent sous-estimé : d'un point de vue purement économique, le spoofing est presque toujours plus rentable pour un attaquant que la compromission réelle d'un système. Pirater un serveur de messagerie demande des compétences, du temps, et expose à un risque de détection bien plus élevé. Spoofer un email demande un serveur SMTP basique et une liste d'adresses cibles glanées publiquement. Le retour sur investissement pour l'attaquant explique la prévalence du phénomène — et, en creux, pourquoi la défense la plus efficace n'est pas de traquer chaque attaquant individuellement, mais de fermer la faille structurelle qui rend l'attaque possible à grande échelle, ce que fait précisément DMARC.

En résumé

Le spoofing email n'est pas une faille de sécurité récente ni un exploit sophistiqué — c'est une conséquence directe de la conception d'un protocole vieux de plusieurs décennies, qui n'a jamais intégré de vérification d'identité native. DMARC, en s'appuyant sur SPF et DKIM, referme cette faille pour l'usurpation directe du domaine — la forme la plus crédible et la plus dommageable, puisqu'elle utilise l'identité exacte de l'organisation visée plutôt qu'une imitation approximative que la victime pourrait repérer d'un coup d'œil.

Pour savoir si un domaine est aujourd'hui spoofable, un passage par l'analyseur DMARC gratuit suffit — un test direct et sans ambiguïté, qui dit en quelques secondes si la porte est ouverte ou fermée — et, si elle l'est, quelle est la première étape concrète pour la refermer.