On a tous eu ce moment. Tu ouvres ta boîte mail, tu vois « Urgent : votre compte sera suspendu ! » et, pendant une demi seconde, ton cerveau y croit. Juste assez pour cliquer.
Le phishing marche comme ça. Pas parce qu’on est “nul” en informatique, mais parce que c’est conçu pour viser la fatigue, la routine, la peur, la curiosité. Et en BTS SIO option SISR, tu vas forcément y être confronté, au lycée, en stage, puis en prod. Donc autant apprendre une méthode simple, reproductible, qui ne te met pas en danger.
Ici, on va voir comment analyser un mail suspect sans se faire piéger. Pas en mode théorie abstraite. Plutôt comme quand tu dépannes un ticket : tu observes, tu prends des notes, tu valides, tu escalades si besoin.
Ce qu’un mail de phishing essaie de te faire faire
Le but n’est pas “d’envoyer un virus” (pas toujours). Le but, c’est une action.
En général, ça tombe dans l’une de ces catégories :
- te faire cliquer sur un lien vers une fausse page de connexion (vol d’identifiants)
- te faire ouvrir une pièce jointe piégée (macro, exécutable déguisé, HTML, archive…)
- te faire répondre (collecte d’infos, « conversation hijacking », reconnaissance)
- te faire payer (faux RIB, faux fournisseur, « CEO fraud », urgence compta)
- te faire installer quelque chose (faux antivirus, fausse mise à jour, outil de prise en main)
Garde ça en tête, parce que toute l’analyse consiste à répondre à une question : « Qu’est ce qu’il veut que je fasse ? »
La règle numéro 1 : ne clique pas pour “voir”
Ça paraît bête, mais c’est le réflexe le plus dangereux. « Je clique juste pour regarder ». Non.
Quelques raisons concrètes :
- un lien peut déclencher un tracking immédiat, confirmer que ton adresse est active
- une page peut exploiter une vulnérabilité du navigateur ou du lecteur intégré (rare, mais réel)
- une pièce jointe peut exécuter un contenu actif via l’application associée (macro, script, HTML)
- certains clients mail préchargent des contenus externes (pixels de suivi)
Donc on analyse d’abord. Puis on ouvre éventuellement, mais dans un environnement contrôlé, pas sur ta session principale.
Étape 1 : lire le mail comme un enquêteur, pas comme un utilisateur
Avant les headers, avant tout, tu lis le texte. Et tu cherches des signaux.
Signaux classiques (mais pas toujours visibles)
- urgence artificielle : « dans 24 h », « dernier avertissement »
- menace : fermeture de compte, pénalité, poursuites
- récompense : remboursement, colis gratuit, facture à récupérer
- incohérences : ton entreprise ne te parle jamais comme ça
- fautes, tournures étranges, traduction automatique
- demande anormale : mot de passe, MFA, RIB, achat de cartes cadeaux
Exemple typique
« Bonjour, nous avons détecté une connexion suspecte. Vérifiez immédiatement vos informations. »
Ça ressemble à du Microsoft, du Google, de la banque. Sauf que… si tu te connectes via ton portail habituel, tu verras les alertes officielles. Pas besoin d’un lien dans un mail.
Étape 2 : vérifier l’expéditeur, mais correctement
Beaucoup de gens regardent juste le nom d’affichage : « Support Microsoft ». Ça ne vaut rien.
Tu dois regarder l’adresse complète.
- Nom affiché : facile à usurper
- Adresse réelle : plus parlant, mais peut être spoofée
- Domaine : souvent la première grosse alerte
Attention aux domaines piégés
- homoglyphes : micrоsoft.com (le “o” peut être un caractère différent)
- sous domaines trompeurs : microsoft.security-alerts.example.com (domaine réel : example.com)
- domaines “proches” : amazon-support.com, paypal-verif.net
- TLD exotiques : .top, .xyz, .icu (pas automatiquement malveillant, mais fréquent)
Si tu es sur un poste de l’établissement, ou en entreprise, pense aussi à vérifier si le mail vient d’un domaine attendu : partenaires, prestataires, fournisseurs. Le phishing B2B adore ça.
Étape 3 : survoler les liens, sans cliquer
Sur PC, tu survoles. Sur mobile, c’est plus pénible. Et justement, les attaquants le savent.
Quand tu survoles un lien, tu regardes :
- le domaine réel (pas le texte du lien)
- le protocole (https n’est pas une preuve de légitimité)
- les redirections (liens raccourcis, tracking, etc.)
- les paramètres suspects (token, base64, chaînes très longues)
Un truc simple : si le lien te mène vers une page de login, demande toi pourquoi tu ne peux pas passer par l’URL que tu connais déjà, ou par un favori.
Étape 4 : analyser les pièces jointes comme si c’était déjà dangereux
Une pièce jointe inattendue, c’est “non” par défaut.
Les extensions à risque courantes :
- .docm, .xlsm (macros)
- .html, .htm (pages de phishing hors navigateur, très fréquent)
- .iso, .img, .vhd (contournent certains filtres)
- .zip, .rar, .7z (masquent le contenu)
- .exe, .scr, .js, .vbs, .cmd, .bat (évident, mais encore vu)
Et il y a aussi les PDF, qui peuvent être utilisés pour pousser un lien de phishing, ou exploiter des failles (moins courant aujourd’hui, mais pas impossible).
Conseil simple : si le mail parle d’une facture, d’un devis, d’un colis, demande toi si tu attends vraiment ce document. Sinon, tu vérifies par un autre canal.
Étape 5 : regarder les en-têtes (headers) quand tu as un doute sérieux
Là on passe en mode SISR, plus technique. Les headers donnent souvent une réponse nette : d’où ça vient vraiment, et si l’authentification email a échoué.
Dans Gmail : « afficher l’original » Dans Outlook : « afficher la source du message » ou « propriétés »
Ce que tu cherches :
SPF, DKIM, DMARC
- SPF : le serveur est il autorisé à envoyer pour ce domaine ?
- DKIM : le message est il signé, signature valide ?
- DMARC : politique et résultat (pass, fail, quarantine, reject)
Tu verras souvent une ligne du type :
spf=passouspf=faildkim=passoudkim=faildmarc=passoudmarc=fail
Un dmarc=fail sur un mail prétendument bancaire, c’est quasiment fin de l’histoire.
Les “Received” (chaîne de relais)
Tu remontes les serveurs. Si ça part d’une IP bizarre, d’un hébergeur cloud inattendu, ou d’un pays sans rapport, tu notes.
Astuce : ne te perds pas dans 40 lignes. Cherche surtout les résultats d’authentification et le domaine d’envoi.
Étape 6 : valider sans risque avec des outils, mais en mode “hygiène”
Si tu dois investiguer, fais le proprement.
A. Ne pas ouvrir les liens sur ta session principale
Utilise :
- une VM dédiée (snapshot avant)
- un navigateur isolé (profil jetable)
- ou un environnement de sandbox si tu en as un
En contexte pédagogique, tu peux aussi faire ça en atelier sur un poste de lab, pas sur ton poste perso.
B. Scanner un fichier sans l’ouvrir
Quelques outils utiles :
- VirusTotal (fichier et URL)
- Hybrid Analysis (plus poussé, parfois lent)
- ANY.RUN (sandbox interactive)
Important : ne balance pas n’importe quel document interne sur un service public. Pour des fichiers potentiellement sensibles, il faut un outil interne, ou au minimum l’accord du responsable.
C. Analyser une URL sans la visiter
- urlscan.io (fait la visite à ta place)
- checkphish.ai (parfois utile)
- Google Safe Browsing (indicateur, pas une preuve)
Une mini méthode en 90 secondes (celle qui sauve des vies)
Quand tu n’as pas le temps, tu peux faire cette check list rapide :
- Je suis censé recevoir ça ?
- On me presse, on me menace, on me fait “peur” ?
- Expéditeur : domaine exact OK ?
- Lien : domaine exact OK, cohérent avec l’organisme ?
- Pièce jointe : attendue, extension safe ?
- Si doute : je ne clique pas, je signale.
C’est tout. Et c’est déjà énorme.
Cas concrets qu’on voit souvent en établissement et en entreprise
1. « Votre mot de passe expire aujourd’hui »
Classique sur les environnements Microsoft 365 et Google Workspace. Sauf que les mails légitimes renvoient vers des portails connus, et les équipes IT communiquent souvent via des canaux internes.
Réflexe : passe par le portail habituel, ou contacte le support. Ne passe pas par le lien.
2. « Facture impayée en pièce jointe »
Ça vise souvent les services admin, mais tout le monde peut se faire avoir.
Réflexe : tu vérifies le fournisseur, le contexte, le numéro de commande, et tu ouvres la pièce jointe seulement dans un environnement contrôlé si c’est justifié.
3. « Partage de document : OneDrive / Google Drive »
Le mail peut être très propre, parce que parfois il utilise un vrai service de partage, mais vers un fichier piégé ou une fausse page login.
Réflexe : tu vérifies qui partage, et surtout l’URL réelle. Et tu te demandes : pourquoi cette personne me partage ça ?
Et sur mobile, on fait comment ?
Sur mobile, le phishing est plus efficace. Tu vois moins bien les domaines, les liens sont tronqués, et tu es souvent pressé.
Quelques réflexes :
- ne pas se connecter via un lien reçu par mail, point
- si tu dois vérifier, ouvre l’appli officielle ou tape l’URL toi même
- désactive le chargement automatique des images externes si possible
- si tu reçois un mail “IT” en dehors des heures habituelles, red flag
Que faire si tu as cliqué (ça arrive)
On ne va pas jouer au héros. Tu cliques, tu t’en rends compte. L’objectif, c’est de limiter la casse.
- Déconnecte toi du site, ferme l’onglet.
- Si tu as saisi des identifiants : change ton mot de passe immédiatement depuis le portail officiel.
- Si tu as un MFA : vérifie les méthodes enregistrées, sessions actives, appareils de confiance.
- Préviens le support / l’admin. Rapidement. Oui, même si tu as honte.
- Si pièce jointe exécutée : coupe le réseau, fais remonter, et lance une procédure (scan, isolement, EDR si dispo).
Et si tu es en contexte BTS, note ce qui s’est passé. Ça peut devenir un mini retour d’expérience utile, pour toi et pour la classe.
Petit coin “SISR” : ce que tu peux mettre en place côté admin
Si tu es du côté infra, tu peux réduire fortement le risque :
- DMARC en enforcement (quarantine ou reject), avec reporting
- sensibilisation régulière (courte, fréquente, pas un PDF annuel)
- bannière « message externe » dans les mails entrants
- désactivation ou restriction des macros Office
- filtrage des pièces jointes à risque (html, iso, etc.)
- sandboxing des URLs et des pièces jointes
- MFA partout, et surtout résistance au phishing (FIDO2, passkeys)
- surveillance des connexions suspectes (impossible travel, nouveaux devices)
Ce sont des choses qu’on aborde souvent en ateliers systèmes et cybersécurité. Sur BTS SIO2 SISR Tech Lab (https://sio1blog.blogspot.com/), on publie justement des labs et retours terrain sur ce genre de sujets. Si tu veux une suite, un TP “analyse de headers” ou “DMARC en pratique”, ça a totalement sa place.
Quelques images mentales à garder
- Un mail n’est pas une preuve. C’est juste un emballage.
- Le nom affiché, c’est du marketing.
- Le domaine, c’est l’identité.
- L’urgence, c’est un levier psychologique.
- Et “je clique pour voir”, c’est exactement ce qu’ils attendent.
Conclusion : une bonne analyse, c’est surtout une bonne routine
Tu n’as pas besoin d’être expert en forensic pour éviter 95 % des pièges. Tu as besoin d’une routine simple, et du droit de dire : « je ne sais pas, donc je ne clique pas ».
Si tu devais retenir une seule chose : quand un mail te pousse à agir vite, ralentis. Deux minutes de vérif valent largement des heures de nettoyage derrière.
Questions fréquemment posées
Qu'est-ce que le phishing et pourquoi est-il si efficace ?
Le phishing est une technique de fraude qui vise à tromper les utilisateurs pour qu'ils effectuent une action nuisible, comme cliquer sur un lien malveillant ou fournir des informations sensibles. Il fonctionne non pas parce que l'on est incompétent en informatique, mais parce qu'il cible la fatigue, la routine, la peur et la curiosité.
Quels sont les objectifs principaux d'un mail de phishing ?
Un mail de phishing cherche généralement à vous faire : cliquer sur un lien vers une fausse page de connexion pour voler vos identifiants, ouvrir une pièce jointe piégée, répondre au message pour collecter des informations, effectuer un paiement frauduleux ou installer un logiciel malveillant déguisé.
Pourquoi ne faut-il jamais cliquer directement sur un lien dans un mail suspect ?
Cliquer sur un lien peut déclencher un suivi immédiat confirmant que votre adresse mail est active, exploiter des vulnérabilités du navigateur ou du client mail, ou exécuter du contenu actif via une pièce jointe. Il est donc essentiel d'analyser le mail avant toute interaction.
Comment analyser un mail suspect comme un enquêteur ?
Commencez par lire attentivement le texte du mail en recherchant des signaux tels que l'urgence artificielle, les menaces, les récompenses inattendues, les incohérences dans le ton ou les fautes d'orthographe, ainsi que toute demande anormale comme des mots de passe ou des informations bancaires.
Comment vérifier correctement l'expéditeur d'un mail pour détecter une tentative de phishing ?
Ne vous fiez pas au seul nom affiché qui peut être usurpé. Vérifiez l'adresse complète de l'expéditeur et surtout le domaine. Méfiez-vous des domaines piégés utilisant des homoglyphes, des sous-domaines trompeurs ou des extensions exotiques souvent associées au phishing.
Comment se protéger efficacement contre le phishing en milieu scolaire et professionnel ?
Il est crucial d'apprendre une méthode simple et reproductible pour analyser les mails suspects sans se mettre en danger : observer attentivement le contenu, vérifier l'expéditeur avec soin, ne jamais cliquer impulsivement et utiliser un environnement sécurisé pour ouvrir éventuellement les pièces jointes ou liens douteux.
0 Commentaires