L'essaim authentifié

SPF : conforme. DKIM : conforme. DMARC : conforme. Puis 342 domaines ont porté 18 749 visages différents, et presque personne ne l'a remarqué.

Voici la partie dérangeante. Environ un message sur onze de cette opération était bâclé — signature brisée, enregistrement manquant — et cette portion n'est allée nulle part, comme c'est toujours le cas d'un courriel mal configuré.

Les 90 % restants s'authentifiaient parfaitement. Pas falsifiés : signés. Un domaine contrôlé par l'opérateur, se portant garant d'un message envoyé par l'opérateur, exactement comme la norme le prévoit.

Relisez-le. Rien dans cette campagne n'était défectueux. C'était du courriel correctement configuré — et le courriel correctement configuré, c'est précisément ce à quoi tous les systèmes d'Internet sont conçus pour accorder le bénéfice du doute.

Depuis quinze ans, l'industrie répète la même consigne aux expéditeurs : publiez SPF, signez avec DKIM, appliquez DMARC. C'est un bon conseil. Ça fonctionne. Et quelqu'un l'a pris très, très au sérieux.

Publier DMARC ne fait pas que prouver qui vous êtes. Cela vous achète le bénéfice du doute — et ce bénéfice se produit désormais en série.

Trois cents domaines, dix-huit mille visages

Les systèmes de réputation fonctionnent par mémoire. Envoyez assez souvent depuis un domaine et il accumule un historique — bon ou mauvais — et c'est cet historique qui est jugé.

Cet opérateur n'a donc jamais envoyé deux fois depuis la même adresse. Sur quatre-vingt-dix jours : 20 424 messages provenant de 18 749 noms d'hôte distincts. Le temps qu'un système se forge une opinion sur l'un d'eux, il était déjà abandonné.

L'instinct imagine un entrepôt de domaines achetés. Ce n'est pas ce qui s'est produit, et la réalité est nettement pire.

xjsxrs . portal   . nuanqi06.com        <- acheté
claxvd . form     . dxdwz.com           <- acheté
nwhwtu . inquiry  . zh-zhuafanzb.com    <- acheté
eqpynb . notice01 . ikuxin.com          <- acheté
 \________________/
   gratuit, illimité, instantané

Tout ce qui se trouve à gauche du domaine enregistré est gratuit, illimité et instantané.

Ces 18 749 identités provenaient de 342 domaines enregistrés — une moyenne de 55 sous-domaines jetables chacun. Un seul domaine en a généré 309 à lui seul.

Trois opérations distinctes sur la même fenêtre de quatre-vingt-dix jours — ni un total, ni le trafic d'une journée. Une seule économie entre elles : environ 600 enregistrements derrière près de 19 700 identités.

La barrière à l'entrée, c'est quelques centaines d'enregistrements de domaines. Pas un entrepôt — une commission.

Voilà pourquoi l'instinct « ce domaine est tout neuf, méfiance » échoue. L'enregistrement peut avoir des années et être parfaitement tranquille ; seul le sous-domaine est neuf — et un sous-domaine n'implique aucun registraire, aucuns frais, aucun délai. xqwvd.example.com devient ydccx.example.com le temps de modifier un fichier de zone.

Ces 18 749 identités ont été expédiées depuis 1 125 machines réparties sur 39 réseaux — six plages consécutives chez un même fournisseur infonuagique en ont porté 88 %. Environ 33 nouvelles identités d'expéditeur par machine.

Ce ratio résume tout. Les noms étaient jetables et pour ainsi dire gratuits. L'endroit d'où ils partaient ne l'était ni l'un ni l'autre : il fallait le louer, il restait en place, et il y en avait bien moins que les dix-huit mille identités le laissaient croire.

Une précision s'impose, car la conclusion évidente est la mauvaise : ce sont des plages infonuagiques partagées. Votre fournisseur de paie et votre CRM louent peut-être la machine voisine. Rien ici ne plaide pour bloquer un fournisseur infonuagique — tout plaide pour ceci : l'identité était bon marché, l'emplacement ne l'était pas.

Les caractères que vous ne voyez pas

Le nom d'affichage, c'est la portion du champ « De » qu'un humain lit réellement. C'est donc la portion qui vaut la peine d'être attaquée — et c'est du texte, donc sabotable en silence.

Entre chaque lettre du nom de la marque, ces messages transportent une espace de largeur nulle : un vrai caractère Unicode qui n'occupe aucun pixel et ne s'affiche pas du tout.

Votre œil lit un mot. Une comparaison de chaînes lit vingt-et-un caractères qui ne correspondent à rien au monde.

Sur quatre-vingt-dix jours, 12 719 messages répartis sur 10 837 domaines l'ont utilisée. Ce n'est pas une trouvaille isolée : c'est l'équipement standard.

Écrit par quelque chose qui ne se lasse jamais

Une deuxième campagne usurpait une marque techno mondiale. Pas avec un seul nom d'affichage — avec quatorze, chacun calqué sur une véritable gamme de produits, chacun réparti sur des dizaines de domaines expéditeurs.

Sept variantes sur quatorze. Personne ne tape ça à la main.

Et les enregistrements derrière n'avaient rien de récent. L'un dormait tranquillement depuis 2023 — vieilli comme en fût, puis réveillé pour engendrer des rejetons jetables à la demande.

L'habitude qu'ils n'arrivent pas à automatiser

Voici une chose qui paraît banale et ne l'est pas. Les vraies organisations réutilisent leurs boîtes. Le courriel arrive de info@, ventes@, de Marie, des mêmes quelques personnes, semaine après semaine.

Ces campagnes n'en réutilisent jamais une seule. À chaque message, une boîte aléatoire flambant neuve — lmfyglg@, khigtrr@, sihxxzr@ — utilisée une fois, puis jetée.

Le contre-intuitif, c'est ce que ça donne à côté des expéditeurs de masse légitimes. Les grandes plateformes courriel expédient pour des milliers d'entreprises depuis une poignée de domaines : on s'attendrait à ce qu'elles paraissent plus mécaniques, pas moins :

Les plateformes légitimes exploitent plus de sous-domaines que les criminels — et réutilisent quand même leurs boîtes. L'éparpillement n'est pas l'indice. La répétition l'est.

L'hameçonnage que personne ne signale

On pourrait supposer qu'une campagne de cette taille génère des plaintes. Nous avons épluché cent quatre-vingts jours de signalements d'utilisateurs pour le vérifier.

Sur l'ensemble des clics « signaler un pourriel » de cette fenêtre, 95 % provenaient d'analyseurs automatisés — des vérificateurs de liens qui cliquent à la place du lecteur. Cinq pour cent étaient un véritable être humain.

Et la proportion de ces humains désignant les réseaux de cette campagne : zéro.

Pas un chiffre bas — aucun. Tous les signalements authentiques « vous en avez laissé passer un » examinés sur six mois, et pas un seul ne pointait vers les réseaux qui livraient de l'hameçonnage authentifié depuis le début.

Les gens signalent l'infolettre qui les lasse. Ils ne signalent pas l'hameçonnage de justificatifs : ou bien ils y donnent suite, ou bien ils le suppriment et passent à autre chose. Délai médian avant de signaler quoi que ce soit : quatre heures. D'ici là, un mot de passe a servi ou n'a pas servi.

Le courriel qui génère des plaintes et le courriel qui vous coûte de l'argent ne sont pas le même courriel.

Cela mérite réflexion, car « formez votre personnel et donnez-lui un bouton Signaler un hameçonnage » est la réponse standard à exactement cette menace. Le bouton vaut la peine d'exister. Ce n'est pas un contrôle sur lequel on peut s'appuyer : il se déclenche sur le courriel que les gens trouvent agaçant, des heures plus tard, et reste muet sur celui qui vide un compte.

Il ne reste donc qu'un seul endroit où l'intercepter : avant qu'il n'arrive devant un humain.

Ce que cela signifie concrètement pour vous

Si vous expédiez du courriel : l'authentification vaut toujours la peine. C'est le minimum, ça protège votre nom, et s'en passer aujourd'hui vous fait remarquer. Abandonnez simplement l'idée qu'un crochet vert est un verdict sur l'intention. Il ne l'a jamais été. Il dit qu'un domaine s'est porté garant d'un message — pas que ce domaine mérite qu'on se porte garant de lui.

Si vous recevez du courriel : la question la plus utile au sujet d'un expéditeur inconnu n'est plus « s'est-il authentifié ? ». C'est « ai-je déjà eu de leurs nouvelles ? » — et tout ce qui précède est la réponse d'un opérateur au fait que cette question coûte cher.

Toutes les données proviennent de trafic courriel réel sur une fenêtre de quatre-vingt-dix jours. Les organisations, les destinataires et les marques usurpées ont été caviardés ; l'infrastructure des attaquants ne l'a pas été.

Commencez par votre propre nom. Tout ce qui précède, c'est le domaine de quelqu'un d'autre porté comme un costume. La première question à régler, c'est de savoir si le vôtre est disponible à l'emprunt : publiez-vous DMARC, est-il réellement appliqué, et qui expédie en votre nom en ce moment même ?

Ces observations proviennent du trafic réel de LastSpam, notre plateforme de filtrage — quatre-vingt-dix jours de courriel ordinaire vers des organisations qui n'avaient aucune idée de ce qui se passait. C'est l'état normal des choses, et c'est bien là le propos.