Manipulation et diffusion
Particuliers et entreprisesPourriels et messages indésirables
Spam
Les messages non sollicités peuvent masquer des campagnes malveillantes.
Je pense être concerné : que faire ?
Comprendre et agir
Découvrez le piège à partir d’un exemple, puis les gestes que vous pouvez faire. Vous pouvez suivre cette lecture sans connaissances en informatique.
Une situation concrète
Votre boîte reçoit chaque jour des dizaines de messages commerciaux non demandés. Parmi eux, certains promettent un remboursement et d’autres imitent un service connu. Le volume rend les vrais messages plus difficiles à repérer et augmente la possibilité de cliquer machinalement.
Comment cela fonctionne
Le spam, ou pourriel, est un message non sollicité, souvent envoyé en grand nombre. Il peut s’agir d’une simple publicité indésirable. Il peut aussi diffuser un hameçonnage, une arnaque ou un programme malveillant. Un afflux de messages peut enfin noyer une alerte importante et vous empêcher de la remarquer.
- Les messages affluent
Ils ne sont pas attendus.
- Le tri devient difficile
Une fraude ou une alerte peut se perdre.
- Une alerte peut passer inaperçue
Le flot masque parfois une connexion ou un paiement à vérifier.
Les signes qui doivent attirer l’attention
- Le nombre de messages augmente brutalement sans inscription volontaire.
- Un message indésirable demande des informations sensibles.
- Votre entourage reçoit des courriels que vous n’avez pas envoyés.
Si vous remarquez l’un de ces signes, vérifiez la situation. Un indice isolé ne suffit pas à prouver qu’une attaque a réussi.
Ce que vous pouvez faire
Vos premiers réflexes
Utilisez le bouton « Indésirable ». Ne suivez les liens de désinscription que pour des expéditeurs identifiés. Lors d’un afflux soudain, cherchez aussi les alertes de paiement ou de compte.
Si vous êtes responsable du service ou de l’organisation
Surveillez le nombre de messages reçus et envoyés. Si une boîte envoie des courriels inattendus, vérifiez ses sessions et les applications autorisées à l’utiliser.
Pour savoir comment traiter un message indésirable, regardez son contenu et ce qu’il vous demande. Tous les pourriels ne sont pas malveillants.
À vous de décider
Des centaines de messages arrivent en dix minutes. Pourquoi chercher une alerte de sécurité au milieu ?
Prenez un moment pour répondre et expliquer votre choix, puis ouvrez la correction.
Voir la réponse expliquée
Un achat ou un changement de compte peut se cacher parmi ces messages. Vérifiez ces opérations pendant que vous filtrez le flot, sans conclure à une fraude sur le seul nombre de courriels.
Analyser un cas technique
Ce cas s’adresse aux personnes qui développent, administrent ou analysent ces systèmes. Si vous découvrez le sujet, commencez par « Comprendre et agir ».
Étude de cas fictive
Un afflux de messages masque une notification de fraude
Des centaines de messages par minute arrivent de nombreux domaines. Parmi eux se trouvent un changement d’adresse de livraison et une notification de paiement. Le flot peut servir à cacher ces deux alertes pendant qu’une autre fraude se déroule.
Il faut donc traiter deux problèmes : rétablir l’usage de la messagerie et chercher les actions sensibles cachées dans le volume. Filtrer uniquement les messages répétitifs ne permet pas de savoir si un compte marchand ou bancaire a été détourné. Examiner la période juste avant l’afflux et les services liés à l’adresse.
Les envois peuvent provenir de formulaires d’inscription légitimes détournés. Ils ne partagent alors ni un expéditeur unique ni un contenu strictement identique. Une indisponibilité du prestataire ou une boucle de messagerie peut aussi provoquer une hausse brutale. Les domaines, types de messages et notifications métier aident à distinguer ces situations. Conserver les messages utiles avant un nettoyage massif, afin de ne pas supprimer les confirmations d’opérations à vérifier.
Le déroulement en schéma
Faites défiler le diagramme pour suivre les échanges ; les noms des acteurs restent en haut. Sur petit écran, faites aussi défiler de gauche à droite.
- Action
Messages nombreux
Sources multiples vers Passerelle mail
Trace diversité de domaines
- Action
Pic de livraison
Passerelle mail vers Boîte U7
Trace 840 puis 910 / minute
- Action
Notification critique
Services sensibles vers Passerelle mail
Trace O17 et P7
- Action
Priorisation de l’alerte
Passerelle mail vers Boîte U7
Trace signal conservé
- Action
Vérification directe
Boîte U7 vers Services sensibles
Trace sans lien du message
- Action sur place
Quarantaine du bruit
Passerelle mail
Trace revue possible
Comment repérer cette attaque
Indices à rechercher
Détecter les variations brutales de volume et de diversité des expéditeurs, puis rechercher les notifications de connexion, récupération, commande ou paiement noyées dans la même période.
Quelles informations comparer
Aligner le début de la saturation de messagerie et les actions sensibles sur les comptes. Retrouver les notifications noyées sans supposer que tout message reçu pendant le flot est authentique.
Ce que ces indices ne permettent pas de conclure
Un afflux de messages n’établit pas automatiquement une diversion ni une compromission. Le suivi Exchange prouve la livraison technique, pas que l’utilisateur a vu l’alerte.
Comment réagir
Préserver les messages critiques, limiter le bruit et vérifier directement les comptes de paiement, commerce et identité. Rechercher les actions masquées et traiter chacune selon sa preuve. Éviter une purge irréversible de toute la période avant qualification.
Vérifier la correction
L’équipe responsable du système peut utiliser ces contrôles dans un environnement de test autorisé. Vous pouvez lire et comprendre le cas sans effectuer ces manipulations.
- Injecter un pic synthétique avec une notification critique et vérifier qu’elle reste accessible.
- Tester une reprise de file après panne pour mesurer les faux positifs.
- Contrôler que les mécanismes de récupération continuent à fonctionner pendant la quarantaine.
À vous de raisonner
Le filtrage a rétabli la boîte de réception. Quelle vérification reste prioritaire avant de clore l’incident ?
Quelle décision prendriez-vous, et sur quel indice vous appuieriez-vous ? Répondez avant d’ouvrir la correction.
Comparer avec le raisonnement expliqué
Recherchez les notifications de paiement, de récupération ou de changement de commande dans la période, puis vérifiez ces opérations directement auprès des services. Le retour au volume normal ne dit rien de l’éventuelle fraude masquée. Conservez les messages utiles avant tout nettoyage.
Consulter les détails techniques
Les extraits permettent de s’exercer à lire les traces du cas. Si vous disposez des outils et des accès nécessaires, le guide de collecte vous aide aussi à rechercher ces informations.
Lire les extraits commentés (reconstitution fictive)
Ces extraits contiennent des valeurs fictives. Certains champs correspondent à ceux des outils documentés ; d’autres réunissent plusieurs sources pour faciliter l’explication. Vos propres exports pourront donc avoir une autre forme. Lisez d’abord les explications des champs, puis repérez-les dans les extraits.
deliveries- Comptage regroupé sur une période dans l’exemple ; conserver le périmètre et les messages sources pour éviter les doubles comptes.
payment- Notification à vérifier sur le service de paiement, pas preuve suffisante d’un débit.
Volume et événement critique
JournalLe signal critique n’est pas l’un des messages promotionnels ; il est conservé séparément.
mailbox=U7 baseline_median_per_min=1
10:00 deliveries=2 unique_sender_domains=2
10:01 deliveries=840 unique_sender_domains=670
10:02 deliveries=910 unique_sender_domains=720
10:02 notification source=shop.example event=delivery_address_changed order=O17
10:03 notification source=bank.example event=payment_authorized ref=P7Préparer une collecte dans votre environnement
Utilisez les sources disponibles dans vos outils et auxquelles vous êtes autorisé à accéder. Vous pouvez comprendre la fiche sans posséder ces outils. Vérifiez que les journaux étaient activés pendant la période étudiée. Gardez l’export original avec son fuseau horaire et sa provenance dans un espace à accès restreint. Pour l’analyse, travaillez sur une copie dont vous avez retiré les secrets.
Exchange Online — suivi des messages
- Où les trouver
- Centre d’administration Exchange → Mail flow → Message trace. Rechercher expéditeur, destinataire et période ; rapprocher les résultats du Message-ID de l’original conservé au format EML.
- Quoi relever
- Compter les messages par destinataire et période, puis chercher les notifications de sécurité ou d’achat au milieu du flot. Conserver Message-ID, expéditeur, heure et résultat de livraison.
- Accès et prérequis
- Droits Exchange adaptés. Le suivi indique le traitement et la livraison, pas la lecture humaine ni le clic. Les en-têtes complets se récupèrent aussi depuis le message d’origine.
Service concerné — audit et historique à vérifier
- Où les trouver
- Dans l’outil d’administration ou les journaux du service concerné. Demander à son mainteneur où sont enregistrées les décisions d’autorisation et les opérations métier.
- Quoi relever
- Sur les comptes commerciaux ou financiers concernés, vérifier les changements d’adresse, commandes et opérations indiqués par les notifications. Le courriel doit être confronté à l’historique officiel du service.
- Accès et prérequis
- Il n’existe ni fichier ni vocabulaire universels. Les champs proposés ici doivent être instrumentés s’ils manquent ; ne pas enregistrer mots de passe, jetons ou contenu privé intégral.
Dans l’histoire des cyberattaques
Groupes et campagnes documentés
Ces cas réels montrent où ce mécanisme a été observé. Les années indiquent quand les faits ont eu lieu. Chaque notice précise la source qui les relie à un groupe ou à une campagne.
- CampagneTA571 et ClearFake
La fausse réparation devient le déclencheur
De faux messages d’erreur demandent à la personne d’effectuer une prétendue réparation. Proofpoint observe la méthode chez TA571 dès mars 2024, puis chez ClearFake en avril. Elle sert à livrer des logiciels malveillants et des outils de prise en main à distance.
Ce qu’établit la source. Deux ensembles d’activité distincts observés par Proofpoint. Le rapprochement porte sur la technique ClickFix et ne signifie pas qu’ils forment le même groupe.
Consulter le rapport Clipboard to Compromise: PowerShell Script Self-PwnProofpoint · Publié le
Cette sélection ne couvre pas tous les incidents. Plusieurs acteurs peuvent utiliser une même technique. Les exemples fictifs de la fiche ne décrivent les actions d’aucun de ces groupes.
Si vous pensez être concerné
- Recherchez les alertes de paiement ou de sécurité si une vague inhabituelle masque la boîte.
- Si votre compte envoie des messages, examinez sessions, règles et applications autorisées.
- Pour les messages frauduleux, conservez les éléments utiles au signalement avant suppression.
Pour comprendre votre situation et trouver de l’aide : obtenir une assistance sur 17Cyber. Dans une organisation, prévenez aussi le responsable ou prestataire chargé de la sécurité.
Sources et repères pour approfondir
- Cybermalveillance — spam électronique, que faire ? — cybermalveillance.gouv.fr
- MITRE ATT&CK — Email Bombing — attack.mitre.org
- RFC 8058 — désinscription en un clic — www.rfc-editor.org
