Aller au contenu

Défi n° 1 : démasquez un e-mail d'hameçonnage

Niveau : intermédiaire · Durée : 30 minutes · Outils : CyberChef, vos connaissances sur les en-têtes d'e-mails

L'énoncé

Vous recevez un message signé « Service Livraison » vous demandant de régler 1,99 € de frais pour débloquer un colis. Vous affichez ses en-têtes (« Afficher l'original »). Les voici.

Données fictives

Tous les domaines (.example, example.org, example.net) et toutes les adresses IP (192.0.2.x, 203.0.113.x) de ce défi sont réservés à la documentation : ils n'appartiennent à personne. Rien n'est cliquable.

Return-Path: <bounce-7731@mx-relay.example.org>
Received: from mx-relay.example.org (mx-relay.example.org [203.0.113.77])
        by mx.boite-destinataire.example with ESMTPS id 4a7f2c
        for <vous@boite-destinataire.example>; Mon, 19 Oct 2026 10:53:31 +0200
Received: from pc-01 ([192.0.2.140])
        by mx-relay.example.org with ESMTPSA id 91bd02;
        Mon, 19 Oct 2026 08:53:26 +0000
Authentication-Results: mx.boite-destinataire.example;
       spf=pass (domain of mx-relay.example.org designates 203.0.113.77 as permitted sender) smtp.mailfrom=bounce-7731@mx-relay.example.org;
       dkim=none (message not signed);
       dmarc=fail (p=REJECT) header.from=livraison-officielle.example
From: "Service Livraison" <service@livraison-officielle.example>
Reply-To: assistance-colis@example.net
To: vous@boite-destinataire.example
Subject: Votre colis est en attente : frais de 1,99 EUR a regler sous 24h
Date: Mon, 19 Oct 2026 10:53:24 +0200
X-Campaign-Time: 1792400000
X-Tracking-Link: aHR0cHM6Ly9zdWl2aS1jb2xpcy1saXZyYWlzb24uZXhhbXBsZS5uZXQvcGFpZW1lbnQ/cmVmPUZSLTg4NDEy

Les questions

  1. Quel est l'expéditeur affiché ? Quelle est l'adresse technique de retour ?
  2. Le contrôle SPF indique pass. Pourquoi cela ne prouve-t-il pas que le message est légitime ?
  3. Quel est le résultat DMARC, et que signifie-t-il ici ?
  4. Depuis quelle adresse IP le message a-t-il été émis à l'origine ?
  5. À quoi sert l'en-tête Reply-To, et pourquoi est-il suspect ici ?
  6. Décodez l'en-tête X-Tracking-Link avec CyberChef. Vers quel domaine mène le lien ? Notez-le sous forme neutralisée.
  7. Convertissez X-Campaign-Time en date lisible. Est-ce cohérent avec l'en-tête Date ?
  8. Concluez avec un niveau de confiance, et indiquez où signaler ce message.

Méthode

Les en-têtes Received se lisent de bas en haut : le plus bas est le plus proche de l'expéditeur. Dans CyberChef, utilisez les opérations From Base64, Defang URL et From UNIX Timestamp.

La solution

Afficher la solution (après avoir répondu)

1. Expéditeurs. L'expéditeur affiché (From) est service@livraison-officielle.example. L'adresse technique de retour (Return-Path) est bounce-7731@mx-relay.example.org, un domaine sans rapport avec la marque.

2. SPF « pass ». Le contrôle SPF porte sur le domaine de l'adresse technique (mx-relay.example.org), pas sur celui qui est affiché. L'expéditeur a simplement autorisé son propre serveur à envoyer pour son propre domaine. SPF valide donc le domaine de l'attaquant, pas celui de la marque.

3. DMARC « fail ». DMARC vérifie que le domaine affiché (livraison-officielle.example) est aligné avec un domaine validé par SPF ou DKIM. Ce n'est pas le cas : SPF valide un autre domaine et il n'y a aucune signature DKIM. Le propriétaire du domaine demande même de rejeter ces messages (p=REJECT). C'est la preuve technique d'une usurpation d'expéditeur.

4. Origine. Le Received le plus bas indique que le message a été remis au relais depuis la machine pc-01, d'adresse 192.0.2.140. Dans une vraie enquête, cette adresse peut être celle d'une machine compromise : on la mentionne dans le signalement, on ne cherche pas à « remonter » jusqu'à elle.

5. Reply-To. Il indique l'adresse à laquelle partira une réponse. Ici assistance-colis@example.net, un troisième domaine : quiconque répond écrit directement aux escrocs, et non à la marque.

6. Lien caché. From Base64 donne https://suivi-colis-livraison.example.net/paiement?ref=FR-88412. Sous forme neutralisée (Defang URL) : hxxps://suivi-colis-livraison[.]example[.]net/paiement?ref=FR-88412. Le domaine imite le vocabulaire d'un transporteur mais n'appartient pas à la marque. Dans une vraie situation, on l'analyserait avec urlscan.io et on daterait le domaine avec RDAP, sans jamais le visiter.

7. Horodatage. 1792400000 correspond au 19 octobre 2026 à 08:53:20 UTC, soit 10:53:20 à Paris (heure d'été, UTC+2). C'est cohérent avec l'en-tête Date (10:53:24 +0200) : la campagne a été déclenchée quelques secondes avant l'envoi. Ce type d'en-tête technique laissé par l'outil d'envoi est un pivot utile pour rapprocher plusieurs messages d'une même campagne.

8. Conclusion. Il est établi que ce message usurpe l'identité de livraison-officielle.example : échec DMARC, domaines techniques sans rapport, adresse de réponse détournée et lien vers un domaine imitant la marque. Signalement : Signal Spam pour le message, Phishing Initiative pour l'URL, et la marque usurpée.

Pour aller plus loin