Spoofing et compromission de messagerie : deux menaces distinctes

Trois termes, trois périmètres — et aucun qui couvre l'ensemble

Le problème est que chacun de ces termes désigne une portion différente de la menace, et qu'aucun ne la recouvre entièrement.

• « Fraude au président » ne nomme qu'un scénario : l'usurpation d'un dirigeant. Il laisse hors champ la fausse facture fournisseur, pourtant la variante la plus fréquente en volume, et la fraude aux coordonnées de salaire.
• « Compromission de messagerie », traduction littérale de Business Email Compromise, suggère que la boîte aux lettres a été piratée. C'est parfois vrai — mais c'est le vecteur le plus rare des trois. Le terme décrit donc l'exception comme si elle était la règle.
• « FOVI » ne retient que le résultat financier, et exclut par construction les variantes qui visent des données plutôt qu'un virement.

Cette imprécision a un coût opérationnel direct. Elle laisse croire qu'une parade unique suffit : que déployer DMARC referme le sujet, ou qu'une sensibilisation des équipes comptables le referme également. Les deux affirmations sont fausses prises isolément, et la seconde est plus dangereuse que la première, parce qu'elle est plus difficile à mesurer.

Les trois vecteurs, et celui que DMARC arrête

Une attaque de cette famille emprunte l'un des trois chemins suivants. Leur traitement par DMARC diffère radicalement, et c'est le point que la confusion de vocabulaire masque.

Premier vecteur — le domaine usurpé. L'attaquant envoie depuis une adresse qui affiche exactement le domaine légitime. C'est du spoofing au sens strict, et DMARC en politique d'application l'arrête. Le message échoue à l'alignement, il est rejeté avant d'atteindre la boîte de réception. Aucune vigilance humaine n'est sollicitée, puisque rien n'arrive.

Deuxième vecteur — le domaine ressemblant. L'attaquant enregistre un domaine proche visuellement, puis y publie ses propres enregistrements SPF et DKIM. Le message est parfaitement authentifié — pour ce domaine-là. DMARC ne le refuse pas, et n'a aucune raison de le faire : le protocole vérifie qu'un expéditeur a le droit d'écrire au nom du domaine qu'il annonce, pas que ce domaine ressemble à un autre. La défense relève ici de la surveillance des dépôts de noms proches, traitée parmi les priorités de protection contre l'usurpation.

Troisième vecteur — le compte réellement compromis. L'attaquant dispose des identifiants d'une boîte légitime, souvent obtenus par hameçonnage préalable ou par rejeu d'un mot de passe fuité ailleurs. Le message part de l'infrastructure autorisée, signé par les bonnes clés, depuis le bon domaine. SPF passe, DKIM passe, DMARC passe — parce que l'envoi est authentiquement légitime. Le protocole fonctionne exactement comme prévu ; c'est le compte qui ne l'est plus.

Ce troisième cas est celui qui donne son nom anglais à toute la famille, alors qu'il en constitue la minorité. Sa défense ne relève pas de l'authentification de domaine mais de l'hygiène des accès : authentification multifacteur sur les boîtes exposées, détection des connexions anormales, et gestion centralisée des secrets plutôt qu'une dispersion des identifiants dans des fichiers de configuration ou des canaux de discussion. Un coffre-fort dédié comme Hucency Vault, édité par le spécialiste cybersécurité Hucency, répond à ce besoin en plaçant identifiants et jetons sous accès contrôlé et journalisé.

Distinguer les trois après un incident

La distinction n'est pas seulement conceptuelle : elle commande la réponse. Et les trois vecteurs laissent des traces différentes, ce qui permet de les séparer après coup.

Un domaine usurpé apparaît dans les rapports agrégés DMARC comme une source en échec — une adresse IP émettant au nom du domaine sans passer l'alignement. C'est le vecteur que le rapport agrégé a été conçu pour révéler — à une condition que la formule « il suffit de lire les rapports » escamote : encore faut-il que la collecte existe. Sans balise rua publiée dans l'enregistrement DMARC, et sans destinataires qui acceptent d'en émettre, la tentative ne laisse aucune trace consultable. Le diagnostic nomme d'ailleurs ce cas de figure : un domaine dont la politique est publiée mais dont aucun rapport ne revient est aveugle à sa propre usurpation.

Un domaine ressemblant ne laisse aucune trace dans ces rapports, pour une raison simple : c'est un autre domaine, et ses propres rapports partent vers celui qui l'a déposé. La détection passe par la surveillance des dépôts, ou par le message lui-même dès qu'un destinataire le fait remonter. Le chemin des en-têtes montre alors un domaine qui s'authentifie proprement mais n'est pas celui qu'il imite — c'est pourquoi lire les en-têtes d'un message suspect tranche la question plus vite que toute conjecture sur l'expéditeur.

Un compte compromis est le plus difficile à repérer depuis la seule couche courrier, précisément parce que tout ce qu'il produit est valide. Les signaux sont ailleurs : une connexion depuis un emplacement inhabituel, une règle de boîte créée pour masquer les réponses, un message sortant sans élément correspondant dans le dossier d'envoi de son auteur supposé. Les rapports agrégés, eux, afficheront un envoi légitime et aligné — parce qu'il l'est.

La conséquence pratique est qu'une organisation confrontée à une tentative de fraude ne doit pas en conclure que sa posture DMARC a échoué. Dans deux cas sur trois, la posture a fonctionné exactement comme spécifié, et l'attaque n'est simplement pas passée par la porte qu'elle garde.

Ce que la distinction change pour un domaine déjà en p=reject

Le constat est inconfortable mais il vaut mieux l'énoncer : une politique DMARC en p=reject referme un vecteur sur trois. C'est considérable — c'est le vecteur le plus facile à exploiter, le moins coûteux pour l'attaquant, et celui qui permet les campagnes à grande échelle. Le refermer élimine la fraude opportuniste et contraint l'attaquant à investir davantage.

Mais l'affirmation « le domaine est en p=reject, donc la fraude au virement est traitée » ne tient pas. Les deux autres vecteurs restent ouverts, et ils sont précisément ceux que choisit un attaquant méthodique une fois le premier fermé. Le déploiement de DMARC déplace la menace vers le haut de gamme plutôt qu'il ne la supprime.

Deux conséquences pratiques en découlent. D'une part, les défenses organisationnelles — validation à deux personnes au-delà d'un seuil, vérification des changements de coordonnées bancaires par un canal indépendant du courrier électronique — ne sont pas un complément facultatif à DMARC : elles couvrent la part que l'authentification ne peut structurellement pas atteindre. D'autre part, la surveillance des dépôts de domaines ressemblants devient le prolongement naturel d'un déploiement abouti, puisque c'est là que se reporte l'activité.

Un dernier point mérite d'être noté : les signaux d'alerte fondés sur une rédaction maladroite ont perdu leur fiabilité. Les outils génératifs produisent aujourd'hui des messages dans une langue impeccable, calquée sur le style public de la personne usurpée. Les signaux qui survivent sont structurels — urgence, confidentialité, demande explicite de contourner une procédure — parce qu'ils sont inhérents à la fraude : le style se polit indéfiniment, la demande, elle, ne peut pas être retirée.

Le sens inverse : tout spoofing ne vise pas un virement

La relation ne s'inverse pas davantage. Une grande partie des usages du spoofing n'a rien à voir avec la fraude au virement : campagnes de hameçonnage génériques envoyées à des dizaines de milliers de destinataires pour récolter des identifiants, usurpation de marque à des fins de nuisance, diffusion de logiciels malveillants sous couvert d'un expéditeur connu.

Ces usages partagent la même technique et appellent la même parade — l'authentification du domaine — mais relèvent d'une économie différente : le volume plutôt que le ciblage. Un domaine non protégé les subit sans qu'aucun virement ne soit jamais demandé, et le préjudice se mesure alors en réputation d'expéditeur et en délivrabilité dégradée pour le courrier légitime.

Deux étages, deux traitements

Ramener ces notions à leur juste périmètre conduit à une architecture de défense lisible. Le spoofing se traite à l'étage technique, par l'authentification du domaine, et ce traitement est vérifiable objectivement : une politique publiée, un alignement mesuré, des rapports agrégés qui confirment le résultat. La compromission de messagerie se traite à l'étage organisationnel, par des procédures de validation qui ne dépendent d'aucune confiance accordée à un message.

Aucun des deux étages ne rend l'autre superflu. Le premier élimine la fraude de masse et rend la seconde plus coûteuse ; le second couvre ce que le premier ne peut pas voir. Les définir précisément, comme le fait le glossaire de l'authentification email, est le préalable à toute décision d'investissement sensée en la matière.

L'état de la première couche se constate immédiatement : un passage du domaine dans un analyseur DMARC gratuit indique la posture publiée — politique DMARC, enregistrement SPF, sélecteurs DKIM détectés. Le contrôle porte sur le DNS, et sur lui seul : les sources qui émettent réellement au nom du domaine, elles, ne se lisent que dans les rapports agrégés, donc une fois la collecte en place. La posture ainsi mesurée se compare ensuite à celle du secteur dans l'Observatoire DMARC. La seconde couche, elle, ne se mesure pas depuis l'extérieur — elle s'audite en interne, et c'est souvent là que l'écart se révèle le plus grand.