L'e-mail qui cite votre site : comment les escrocs utilisent ce que vous publiez

Il y a quelque temps, la boîte de ShieldWave a reçu un e-mail d'une entreprise qui voulait nous vendre un projet d'IA. L'expéditeur disait avoir lu notre site et en proposait une « citation ». Elle commençait par « Stop motion My sites Overview Sites Reports ». Ce sont des libellés de la maquette de tableau de bord de notre page d'accueil : le bouton qui coupe l'animation, les entrées du menu et les exemples de domaines. Le programme qui avait écrit l'e-mail avait pris du texte d'interface pour une phrase écrite par quelqu'un de ShieldWave.

Celui-là était une offre commerciale inoffensive et facile à repérer. La même technique, un programme qui lit le site d'une entreprise et en tire un message, est aussi employée par des escrocs. Ils en tirent de meilleurs résultats, parce qu'ils n'ont rien à comprendre. Quelques prénoms, le nom d'un fournisseur et le ton dans lequel l'entreprise écrit suffisent.

L'hameçonnage se trahissait autrefois

Pendant des années, le conseil le plus simple était : méfiez-vous des e-mails avec des fautes de frappe, une grammaire bizarre et un « Cher client » générique. Ce conseil a vieilli. Les modèles de langage écrivent correctement dans n'importe quelle langue, presque gratuitement, et ils glissent dans le message des détails de votre site : le prénom de votre comptable, le logiciel de facturation que vous utilisez, un client de votre rubrique « Ils nous font confiance ».

Adapter un e-mail à une seule entreprise demandait autrefois une heure de travail à une personne. Aujourd'hui, cela coûte autant que du spam ordinaire. C'est pourquoi la fraude personnalisée atteint désormais aussi les petites entreprises.

Ce que votre site apprend à un escroc

Vous publiez l'essentiel de ces informations exprès, parce qu'elles aident vos clients. Il est utile de savoir comment on peut s'en servir.

Les personnes et leurs rôles. Une page « Équipe » avec des noms, des fonctions et des adresses e-mail est une carte toute prête : qui valide les paiements, qui tient la comptabilité, qui dirige l'entreprise. L'escroc écrit alors à la comptable en se faisant passer pour le directeur général, et la salue par son prénom.

Le format des adresses. Dès que anna.martin@entreprise.fr figure sur la page, l'adresse de chaque collègue est facile à deviner. Les adresses partagées comme contact@ ou factures@ en révèlent moins.

Les fournisseurs et partenaires. Les logos de clients, le grossiste, la banque ou le logiciel de comptabilité que vous mentionnez. Une fausse facture d'un vrai fournisseur, avec son logo et un autre numéro de compte, est l'une des fraudes les plus courantes contre les entreprises.

Les offres d'emploi. « Expérience du logiciel X exigée » dit à tout le monde quel logiciel vous utilisez. Un e-mail « de l'éditeur de X » vous demandant de vous connecter pour confirmer votre licence tombe alors exactement au bon moment.

Les actualités. Un article disant « nous déménageons dans de nouveaux locaux » ou « nous passons à un nouveau système de commande » fournit une excuse toute faite pour « en raison du changement, merci de mettre à jour nos coordonnées de paiement ».

La technologie du site. Les versions de WordPress et des extensions visibles dans le code de la page, un fichier de sauvegarde oublié, un enregistrement DMARC absent. Un visiteur ordinaire ne le remarque pas, un script le vérifie en quelques secondes. L'une de ces traces est traitée dans l'article sur la sauvegarde oubliée sur le serveur.

Vous pouvez garder votre page d'équipe et votre liste de clients. Envisagez en revanche une adresse partagée plutôt que l'adresse personnelle de chaque employé, et laissez de côté les détails inutiles pour vos clients, comme le nom de votre logiciel de comptabilité.

Comment repérer un e-mail construit à partir de votre site

Le texte lui-même n'est plus un bon signal : regardez donc ce qu'un script falsifie moins facilement.

1. L'adresse complète de l'expéditeur. Cliquez sur le nom de l'expéditeur et lisez l'adresse jusqu'au bout. Les escrocs enregistrent des domaines qui ressemblent au vrai : entrepnse.fr pour entreprise.fr, entreprise-fr.com, entreprise.fr.factures.net.
2. L'adresse de réponse. Un e-mail peut venir d'une vraie adresse, d'une adresse détournée ou d'une adresse falsifiée, et la réponse partir ailleurs. Cliquez sur « Répondre » et regardez quelle adresse apparaît dans le champ « À ».
3. Le résultat SPF, DKIM et DMARC. Dans Gmail : les trois points à côté du message, puis « Afficher l'original ». Un FAIL sur un e-mail qui prétend venir de votre entreprise ou d'un fournisseur connu est un signal fort. Le fonctionnement de ces protections est expliqué dans l'article sur SPF, DKIM et DMARC.
4. Une demande de changement. Un nouveau numéro de compte, une nouvelle adresse pour les factures, un paiement urgent « avant ce soir », une connexion via un lien dans l'e-mail. Les détails tirés de votre site ne sont là que pour vous empêcher de vérifier. La demande, elle, est toujours la même.
5. Un détail presque juste. Les scripts trébuchent sur de petites choses : ils citent un libellé de menu, se trompent sur un intitulé de poste, écrivent à quelqu'un qui est parti il y a un an. Si un e-mail ressemble à votre site vu par une machine, c'est probablement ainsi qu'il a été fabriqué.

Des règles qui valent quel que soit l'e-mail

Personne ne repère toutes les arnaques. Ce que vous pouvez faire, c'est convenir de quelques règles avec lesquelles même un e-mail convaincant n'obtient rien.

• Confirmez par téléphone tout changement de coordonnées bancaires. Appelez un numéro que vous avez déjà, tiré du contrat ou d'un échange précédent, jamais celui de l'e-mail qui demande le changement. Les banques donnent le même conseil.
• Les paiements importants exigent la validation de deux personnes. Un e-mail « du directeur » à la comptable ne suffit alors plus.
• Ouvrez votre banque, votre logiciel de comptabilité et l'administration de votre site depuis un favori. Jamais depuis un lien dans un e-mail, même d'apparence familière.
• L'urgence est une raison de ralentir. Un vrai partenaire commercial attendra une heure que vous le rappeliez.
• Dans un e-mail auquel vous ne faites pas confiance, ne cliquez pas non plus sur « se désabonner ». Le clic confirme que l'adresse fonctionne et que quelqu'un lit.

Vous pouvez signaler les messages suspects à l'agence nationale de cybersécurité ou au CERT de votre pays. Au Royaume-Uni, transférez-les à report@phishing.gov.uk. Les signalements aident à faire bloquer les faux sites avant que d'autres personnes n'y arrivent.

Votre domaine dans les e-mails d'autrui

Il y a un autre versant : un escroc peut se faire passer pour vous et écrire à vos clients. Un enregistrement DMARC réglé sur p=quarantine ou p=reject empêche quiconque d'utiliser exactement votre domaine dans le champ « De ». Rien, de votre côté, n'arrête un domaine qui ne fait que ressembler au vôtre. Une chose aide : des clients qui savent que vos coordonnées bancaires ne changent jamais par e-mail. Vous pouvez le dire sur vos factures, dans la signature de vos e-mails ou à côté des coordonnées de paiement sur votre site.

Vous pouvez vérifier si votre domaine a SPF, DKIM et DMARC avec le test gratuit (en anglais), sans créer de compte. Une analyse ShieldWave montre aussi ce que votre site révèle de l'extérieur : versions de logiciels, fichiers oubliés et en-têtes de sécurité manquants.