Nous avons cartographié d'où vient vraiment le courriel usurpé

Nous venons de publier quelque chose que nous voulions bâtir depuis un moment : une carte en direct de la provenance du courriel falsifié, mise à jour chaque heure. Vous pouvez la consulter à dmarcguy.com/carte-des-menaces.

Elle est construite à partir de vrais rejets qui surviennent en ce moment même sur une infrastructure de courriel en production — pas une simulation, pas une démo de fournisseur. Et la première chose qu'elle nous a apprise n'était pas celle à laquelle nous nous attendions.

Les attaques ne viennent pas d'où vous le croyez

Demandez à la plupart des gens d'imaginer l'origine des attaques par courriel et ils décriront un endroit lointain et vaguement sans foi ni loi.

Les données disent autre chose. Les origines les plus importantes sont les États-Unis et le Canada, suivis des Pays-Bas, de l'Allemagne et de Singapour. Non pas parce que les attaquants y habitent, mais parce que c'est là que se trouvent les centres de données infonuagiques. Les attaquants modernes ne possèdent pas d'infrastructure : ils la louent à l'heure, chez les mêmes fournisseurs que tout le monde, et la jettent dès qu'elle est bloquée.

C'est aussi pourquoi la carte ne nomme jamais un réseau ni un fournisseur. Le fournisseur n'est pas l'attaquant, et prétendre le contraire serait à la fois faux et paresseux.

Deux attaques très différentes, et une seule vous concerne

La carte comporte deux vues, et la distinction entre les deux compte plus que tout le reste de la page.

Domaines qui n'existent pas. L'expéditeur invente un domaine sans aucun enregistrement DNS — une identité jetable créée pour contourner les filtres. Personne ne le possède. Personne n'est usurpé. Aucune politique ne pourrait l'arrêter, puisqu'il n'y a personne pour la publier.

Vrais domaines avec un DMARC faible ou absent. Ici, l'expéditeur a utilisé le domaine exact d'une entreprise réelle et existante. Pas un sosie — le vrai domaine. Et l'enregistrement DMARC de cette entreprise est soit absent, soit réglé à p=none, ce qui signifie « détecter ceci, mais ne rien faire ».

C'est cette deuxième vue qui mérite qu'on s'y attarde. Chaque pays allumé représente du courriel envoyé au nom d'une entreprise réelle, à ses clients et à ses partenaires — et cette entreprise ignore presque certainement que cela s'est produit.

L'usurpation n'est pas la même chose qu'un domaine sosie

C'est une confusion fréquente, alors soyons précis.

Un domaine sosie est un problème de marque de commerce. On le combat avec des registraires et des avocats, et c'est réellement difficile.

L'usurpation est un problème de configuration. Quelqu'un utilise votre domaine exact, et la seule raison pour laquelle ça fonctionne, c'est que vous n'avez pas dit aux serveurs de courriel du monde entier de le rejeter. C'est un correctif qui vous appartient, et il tient dans un seul enregistrement DNS.

Pourquoi nous ne publions ni chiffres ni noms

Deux omissions délibérées.

Aucun décompte. Le nombre de messages bloqués est une mesure de vanité. Il ne vous dit rien sur la possibilité que votre domaine soit utilisé contre vos clients — et c'est la seule question qui compte pour vous.

Aucun nom de domaine, jamais. Chaque domaine usurpé sur cette carte appartient à une victime. Quelqu'un utilise son nom sans permission, et elle ne peut même pas le dénoncer à un registraire, puisqu'il s'agit de son propre domaine. Publier une liste punirait la mauvaise partie. Nous affichons donc le pays et rien de plus.

p=none n'est pas une protection

Si vous ne retenez qu'une chose de cette carte, retenez ceci.

Un enregistrement DMARC réglé à p=none surveille. Il ne protège pas. C'est la bonne première étape — on le publie, on recueille les rapports, on découvre qui envoie légitimement du courriel en votre nom. Mais c'est une ligne de départ, pas une ligne d'arrivée, et une quantité impressionnante de domaines stationnent à p=none depuis des années.

Tant que vous ne passez pas à p=quarantine ou p=reject, tous les serveurs de courriel de la planète ont reçu cette consigne : si un courriel prétendant venir de cette entreprise échoue à l'authentification, livrez-le quand même.

C'est exactement ce que la deuxième vue de la carte vous montre. Quelqu'un, quelque part, accepte cette offre.

Vérifiez le vôtre

Cela prend une dizaine de secondes et ne coûte rien. DMARC Guy vous dira si votre domaine publie un enregistrement DMARC, quelle politique y est réglée, et si SPF et DKIM sont correctement alignés.

Si vous trouvez p=none — ou rien du tout — ce n'est pas une catastrophe. C'est un après-midi de travail, et nous le faisons régulièrement. Écrivez-nous et nous vous accompagnerons vers l'application de la politique sans casser votre courriel légitime, qui est la partie qui inquiète les gens avec raison.