Imaginez une petite imprimerie, un vendredi à 18 h 40. Un e-mail arrive du fournisseur de papier que l'atelier paie chaque mois, dans le même fil que la commande du mois dernier. Il dit « Facture mise à jour en pièce jointe, merci de la traiter avant le week-end », et la pièce jointe s'appelle Invoice_4471.zip. Le fournisseur est réel et le fil aussi. Mais ce fournisseur a toujours envoyé de simples PDF, personne à l'atelier n'attendait de correction, et le personnel comptable de cette entreprise n'écrit d'ordinaire pas le vendredi soir.
La bonne décision est de laisser ce fichier fermé jusqu'à ce que quelqu'un chez le fournisseur le confirme, à un numéro de téléphone que l'atelier possède déjà. En règle générale, une pièce jointe est raisonnablement sûre quand vous l'attendiez, que l'expéditeur est vérifié et que le type de fichier colle à l'histoire. Elle mérite une vraie méfiance dès qu'un seul de ces points cloche, et le danger commence généralement quand vous exécutez, extrayez ou « activez » quelque chose, et non quand vous lisez le message. La plus grande partie de cet article explique comment faire ces trois jugements rapidement, et comment limiter les dégâts quand vous ne le pouvez pas.
Décortiquer la facture du vendredi
L'exemple ci-dessus est utile parce que le conseil habituel échoue ici. « N'ouvrez pas les fichiers d'inconnus » n'aide pas quand l'expéditeur est quelqu'un que vous payez. Regardez donc ce qui a réellement changé. Le format a changé, du PDF à une archive compressée. L'horaire a changé. Le message presse d'agir avant un week-end, quand personne ne peut facilement vérifier. Chacun de ces points pourrait avoir une explication innocente, mais ensemble ils suffisent pour s'arrêter et vérifier.
Vient ensuite la possibilité à laquelle le patron de l'atelier ne pense peut-être pas : le message peut vraiment venir de la boîte du fournisseur. Les criminels qui pénètrent dans un compte répondent souvent à l'intérieur de conversations existantes, parce qu'un vieux fil inspire une confiance qu'un message à froid ne peut pas obtenir. C'est ce qu'on appelle le détournement de conversation. Cela signifie qu'une adresse d'expéditeur correcte et un objet familier ne règlent rien, et c'est pourquoi la vérification finale doit se faire en dehors de l'e-mail.
Une séquence raisonnable pour le patron serait :
- Ne répondez pas au message pour demander s'il est authentique. Si la boîte est compromise, la réponse va à la personne qui mène l'arnaque.
- Retrouvez le numéro du fournisseur sur une ancienne facture papier, le contrat ou les contacts du téléphone. N'utilisez pas le numéro de la signature de l'e-mail.
- Posez une question simple : « Avez-vous envoyé ce soir une facture corrigée ? » Si le bureau est fermé, la facture peut attendre lundi. Un vrai fournisseur acceptera un paiement le lundi bien plus volontiers qu'un criminel.
- Si le fournisseur a un portail en ligne, connectez-vous en tapant son adresse et regardez si la facture y figure.
- Si la réponse est non, prévenez le fournisseur que sa boîte est peut-être compromise, puis signalez et supprimez le message.
Le même exemple a une variante plus discrète qu'aucun scanner n'attraperait. La pièce jointe peut être un PDF ordinaire et sain d'une facture parfaitement réelle avec un seul détail modifié : le compte bancaire. Aucun logiciel malveillant n'est en jeu et le fichier est inoffensif pour votre ordinateur, mais l'argent part quand même au mauvais endroit. Tout changement de coordonnées de paiement mérite ce même coup de téléphone, quel que soit le format du fichier.
Ce que cherche à faire une pièce jointe malveillante
Les pièces jointes restent populaires auprès des attaquants pour une raison simple. Les services de messagerie ne peuvent pas refuser tous les fichiers, parce que les gens ont besoin d'échanger des factures, des CV, des contrats et des photos, et que le destinataire ouvre le fichier de son plein gré. Un fichier malveillant vise généralement l'un de quatre résultats, et savoir lequel un format donné permet est l'essentiel de la compétence.
- Il exécute du code directement. Un programme ou un script démarre quand vous double-cliquez dessus et possède les mêmes permissions que vous.
- Il persuade une autre application d'exécuter du code, au moyen de macros, d'objets intégrés ou d'une faille du logiciel.
- Il vous envoie ailleurs. Un PDF ou un document ne contient qu'un bouton menant à une fausse page de connexion : le fichier peut être sain alors que la destination est l'attaque.
- Il recueille ce que vous tapez. Une pièce jointe HTML s'ouvre dans votre navigateur comme une page locale qui imite un écran de connexion et envoie votre mot de passe à quelqu'un d'autre.
Une photo JPEG dans une visionneuse à jour ne peut rien faire des trois premiers points par elle-même. Un fichier de raccourci Windows peut exécuter une ligne de commande tout en affichant l'icône d'un document. Cet écart entre les formats explique le tableau ci-dessous.
Types de fichiers, classés selon ce qu'ils peuvent faire
Les niveaux supposent que le fichier vient d'un expéditeur inconnu ou inattendu. Ils sont un jugement fondé sur ce que chaque format peut faire, et le contexte peut faire monter ou descendre un fichier. Un classeur .xlsm venant de votre comptable en période d'impôts est normal. Le même fichier venant d'une adresse inconnue à propos d'une livraison manquée ne l'est pas.
| Extensions | De quoi il s'agit | Risque | Pourquoi |
|---|---|---|---|
| .exe, .msi, .scr, .com, .pif | Programmes et installateurs Windows | Très élevé | Ils exécutent du code avec vos permissions. Un « économiseur d'écran » .scr est un programme ordinaire. |
| .js, .jse, .vbs, .vbe, .wsf, .hta, .ps1, .bat, .cmd | Scripts | Très élevé | Windows possède des interpréteurs intégrés pour ceux-ci. Un inconnu n'a presque jamais de bonne raison d'en envoyer un. |
| .lnk | Raccourci Windows | Très élevé | Peut lancer une commande avec des arguments derrière une icône d'apparence inoffensive. |
| .iso, .img, .vhd, .vhdx | Images disque | Élevé | Un double-clic les monte comme un lecteur, et elles ont servi à empaqueter des programmes et des raccourcis. |
| .docm, .xlsm, .pptm, .xlam | Fichiers Office avec macros | Élevé | Le « m » signifie que le fichier peut contenir des macros VBA. Des usages légitimes existent mais sont rares de la part d'inconnus. |
| .doc, .xls | Anciens formats Office | Moyen à élevé | Peuvent contenir des macros sans aucun indice dans le nom, et ont une longue histoire d'abus. |
| .zip, .rar, .7z, .gz, .tar | Archives | Selon le contenu | Peuvent contenir tout ce qui figure dans ce tableau. Les archives chiffrées ne peuvent pas être analysées. |
| .html, .htm, .svg | Pages web et images vectorielles | Moyen à élevé | S'ouvrent dans un navigateur et peuvent afficher de faux formulaires de connexion, exécuter des scripts ou assembler un fichier sur place. |
| .one | Bloc-notes OneNote | Moyen à élevé | A servi à cacher des scripts derrière un faux bouton « cliquez pour afficher ». |
| Document portable | Faible à moyen | Surtout passif, mais peut contenir des liens, des fichiers intégrés et des scripts. | |
| .docx, .xlsx, .pptx | Fichiers Office modernes | Faible à moyen | Ne peuvent pas stocker de macros VBA, mais peuvent contenir des liens, des références externes et des objets intégrés. |
| .jpg, .png, .gif, .webp | Images matricielles | Faible | Données passives. Le risque est une rare faille de visionneuse, que les mises à jour corrigent. |
| .txt, .csv | Texte et données | Faible, avec une réserve | Un texte ne peut pas s'exécuter seul, mais un CSV ouvert dans un tableur peut contenir des formules : refusez donc les invites d'activation de contenu externe. |
Les fournisseurs de messagerie font une partie de ce tri à votre place. Gmail, par exemple, refuse une liste de types de fichiers qui comprend .exe, .js, .lnk et .iso, et regarde aussi à l'intérieur des archives quand il le peut. Outlook bloque lui aussi de nombreux types de programmes et de scripts. C'est pourquoi les criminels privilégient les formats que les filtres doivent laisser passer, et pourquoi un conteneur inhabituel en dit souvent plus qu'un nom manifestement dangereux.
Comment on cache le vrai type d'un fichier
Windows masque par défaut les extensions connues, ce qui fait marcher la plus vieille ruse du monde. Un fichier nommé invoice.pdf.exe s'affiche comme invoice.pdf. Désactivez cela une fois et ça reste désactivé. Dans Windows 11, ouvrez l'Explorateur de fichiers et choisissez Afficher, Afficher, Extensions de noms de fichiers. Dans Windows 10, c'est une case à cocher sous l'onglet Affichage. Sur un Mac, allez dans Finder, Réglages, Avancé et cochez Afficher toutes les extensions de fichier.
D'autres déguisements demandent plus d'attention. Des noms longs remplis d'espaces, comme statement.pdf .js, repoussent la vraie terminaison hors d'une colonne étroite. Un caractère de contrôle Unicode, le contournement de droite à gauche (U+202E), peut inverser l'affichage de la fin d'un nom : un fichier qui se termine réellement par .exe peut sembler se terminer par .pdf. Les programmes et les raccourcis peuvent aussi porter l'icône de leur choix, y compris celle d'un PDF ou de Word : une icône ne prouve donc rien.
L'e-mail lui-même peut aussi mentir. Chaque pièce jointe est accompagnée d'un type de contenu déclaré comme application/pdf, mais c'est l'expéditeur qui choisit cette étiquette. Ce qui se passe sur votre appareil dépend du vrai format et de l'extension du fichier. Vérifiez donc la colonne Type ou les Propriétés du fichier sous Windows, Lire les informations sur un Mac, et la vue détaillée du gestionnaire de fichiers sur un téléphone.
Les documents Office et les deux bandeaux colorés
Les fichiers Office méritent leur propre section parce qu'ils sont partout et qu'on en abuse depuis des décennies. Une macro est un petit programme écrit en Visual Basic pour Applications, stocké dans un document, qui peut automatiser un travail utile ou télécharger et lancer autre chose. Le format du fichier donne un indice partiel : .docx et .xlsx ne peuvent pas stocker de macros VBA, alors que .docm et .xlsm le peuvent, et les anciens fichiers .doc et .xls aussi, sans que rien ne l'indique.
Quand vous ouvrez dans Office pour Windows un fichier venant d'internet ou d'un e-mail, vous rencontrerez généralement l'un de deux bandeaux. Le jaune appartient au Mode protégé, qui ouvre le document en lecture seule dans un mode restreint et propose Activer la modification. Tant que vous restez en Mode protégé, le fichier est beaucoup plus limité dans ce qu'il peut faire. Vous pouvez le lire, et pour un document que vous avez seulement besoin de lire, il n'y a aucune raison d'en sortir.
Le rouge est un bandeau de sécurité. Microsoft a modifié Office pour Windows, avec un déploiement commencé en 2022, de sorte que les macros VBA des fichiers venant d'internet sont bloquées par défaut dans Word, Excel, PowerPoint, Access, Project, Publisher et Visio. Le bandeau indique que les macros ont été bloquées parce que la source du fichier n'est pas fiable. D'après la documentation de Microsoft, ce changement ne couvre pas Office sur Mac, sur Android ou iOS, ni sur le web : ne supposez donc pas le même comportement partout.
Le blocage repose sur la Marque du Web (Mark of the Web), une étiquette que Windows ajoute aux fichiers provenant d'un emplacement non fiable, comme un téléchargement depuis un navigateur ou une pièce jointe d'e-mail. Une personne peut retirer l'étiquette en cochant Débloquer dans les Propriétés du fichier, et cela vous donne un signal d'alerte clair. Si un document ou un e-mail « serviable » vous dit de faire un clic droit sur le fichier, de cocher Débloquer et de le rouvrir, on vous fait contourner la protection. Fermez-le.
Les attaquants ont répondu par la persuasion. Un document piégé typique affiche une page floue et une phrase comme « Ce document a été créé dans une version plus récente. Activez la modification et le contenu pour l'afficher. » Aucun document authentique n'a besoin de macros pour être simplement lu. Si le fichier vient de quelqu'un que vous ne pouvez pas vérifier, considérez ce message comme la réponse à votre question de savoir s'il est sûr.
Ce jeu du chat et de la souris explique certains des formats étranges du tableau. Les images disque sont devenues populaires en partie parce que les fichiers contenus dans un ISO ne recevaient pas la Marque du Web, jusqu'à ce que Microsoft corrige cela en novembre 2022 (CVE-2022-41091). Les abus de fichiers OneNote ont ensuite augmenté, avec des scripts et des raccourcis intégrés derrière de faux boutons, et en 2023 Microsoft a annoncé que OneNote pour Microsoft 365 et Office en version commerciale bloqueraient les fichiers intégrés ayant des extensions dangereuses. Chaque correctif pousse les attaquants vers le conteneur suivant : un format inconnu venant d'un inconnu est donc une raison suffisante de faire une pause.
PDF, pages web et images
La grande majorité des PDF sont inoffensifs, et le risque réaliste est rarement une attaque sophistiquée. C'est bien plus souvent un PDF d'une page avec un logo et un gros bouton « Voir le document sécurisé » menant à une fausse page de connexion. Un PDF peut aussi contenir ses propres fichiers intégrés, que la visionneuse peut proposer d'ouvrir, et du JavaScript. Les lecteurs de PDF ont eu des failles de sécurité au fil des ans : gardez le vôtre à jour. Ouvrir un PDF inattendu dans la visionneuse intégrée d'un navigateur récent est un choix par défaut raisonnable, et si vous utilisez Adobe Acrobat Reader et avez rarement besoin des scripts, vous pouvez décocher Activer JavaScript d'Acrobat sous Édition, Préférences, JavaScript. Un PDF qui n'existe que pour dire « votre document est prêt, cliquez ici » est une porte d'entrée, pas un document.
Les pièces jointes HTML sont pires qu'elles n'en ont l'air. L'une d'elles s'ouvre dans votre navigateur comme une page locale et peut afficher une copie parfaite d'un écran de connexion avec votre adresse e-mail déjà remplie. Comme aucune adresse web suspecte n'a jamais figuré dans le message, les scanners de liens de votre service de messagerie peuvent n'en voir aucune. Un fichier HTML peut aussi construire un fichier dans le navigateur à partir de données encodées et le proposer en téléchargement, une technique appelée HTML smuggling, qui peut passer des filtres n'inspectant que les pièces jointes. Aucune vraie entreprise n'a besoin que vous vous connectiez depuis un fichier joint à un e-mail. Traitez toute page de ce genre comme du phishing, et allez sur le service en tapant son adresse.
Les fichiers SVG ressemblent à des images et sont définis en XML, ce qui signifie qu'ils peuvent inclure des scripts et des liens. Dans une visionneuse d'images, ils se comportent comme une image, tandis que dans un navigateur, ils peuvent se comporter comme une page web. Un SVG inattendu venant d'un inconnu mérite le même doute qu'un fichier HTML.
Les fichiers JPEG, PNG, GIF et WebP ordinaires sont des données passives, et le risque théorique d'une faille de visionneuse est ce que corrigent les mises à jour du système. Le risque pratique est différent : une image peut n'être qu'un appât, comme une « capture d'écran » de facture qui vous dit d'appeler un numéro de téléphone. Le fichier est sûr, et les instructions qu'il contient ne le sont pas.
Archives : jugez le contenu, pas l'emballage
Un fichier ZIP n'est ni sûr ni dangereux. Il est exactement aussi sûr que ce qu'il contient. Les archives conviennent aux attaquants parce que le message n'affiche que « documents.zip » alors que le vrai type de fichier reste caché, et parce qu'une archive dans une autre archive, ou un format moins courant, peut dérouter certains scanners.
Le chiffrement ajoute un autre problème. Les outils de sécurité de messagerie ne peuvent pas regarder dans une archive protégée par mot de passe, c'est pourquoi un message contenant une archive chiffrée et son mot de passe ensemble est un schéma classique. Réfléchissez à ce que cet arrangement accomplit : il n'offre aucun secret, puisque quiconque détient l'e-mail détient le mot de passe, et la seule chose qu'il fait de façon fiable est d'aveugler le scanner. Un expéditeur authentique qui chiffre un fichier partage normalement le mot de passe autrement, par téléphone ou dans une discussion séparée.
Si vous avez vérifié que l'archive doit exister et voulez quand même voir ce qu'elle contient :
- Ouvrez l'archive pour voir sa liste de fichiers sans rien extraire. L'Explorateur de fichiers de Windows et des programmes d'archives comme 7-Zip peuvent afficher la liste. Un Mac décompresse généralement par défaut au double-clic : utilisez-y donc un outil d'archives.
- Lisez chaque nom et chaque extension. Un seul
.lnk,.js,.exeou.isodans ce qui était présenté comme de la paperasse règle l'affaire : supprimez l'archive. - Vérifiez que le contenu correspond à l'histoire. Un « guide PDF » doit être un PDF, pas un dossier contenant un raccourci.
- Extrayez uniquement le fichier précis dont vous avez besoin, puis appliquez les mêmes vérifications à ce fichier.
Vérifier l'expéditeur, en bref
Le fichier est la moitié de l'attaque, et l'histoire crédible qui l'entoure est l'autre moitié. Notre guide pour repérer les e-mails de phishing détaille cela, voici donc les vérifications qui comptent le plus pour les pièces jointes.
Commencez par la vraie adresse, car n'importe qui peut régler le nom d'affichage comme il veut. « Service comptabilité » peut être billing@example-pay.example. Sur un ordinateur, survolez le nom ou cliquez dessus, et sur un téléphone, touchez la ligne de l'expéditeur. Cherchez les domaines avec des mots ajoutés, des tirets ou des lettres échangées (« rn » qui se fait passer pour « m »), les adresses de messagerie web gratuite qui prétendent être le service facturation ou juridique d'une entreprise, et un domaine qui ne correspond pas au site web que vous connaissez déjà.
Regardez ensuite où irait une réponse. Un message peut venir d'une adresse et envoyer les réponses à une autre. Les listes de diffusion et les systèmes de tickets, ainsi que les newsletters auxquelles vous êtes abonné, le font parfois pour des raisons ordinaires, mais pas un mot d'apparence personnelle sur un paiement urgent.
La vérification technique prend une minute. Dans Gmail, ouvrez le menu à trois points et choisissez Afficher l'original. Dans Outlook sur le web, utilisez Affichage, Afficher la source du message. Cherchez spf=pass, dkim=pass et dmarc=pass. SPF liste les serveurs autorisés à envoyer pour un domaine, DKIM est une signature cryptographique qui montre que le domaine a autorisé le message et qu'il n'a pas été modifié, et DMARC relie ces résultats au domaine From visible et indique aux destinataires quoi faire en cas d'échec. Lisez les résultats dans un seul sens. Un échec sur un message qui prétend venir de votre banque est un fort avertissement. Une réussite ne rend pas un message sûr, parce que des criminels peuvent enregistrer un domaine imitateur et l'authentifier correctement, et qu'une boîte détournée passe tous les contrôles.
Reste la question à laquelle aucun en-tête ne peut répondre : cela s'inscrit-il dans une vraie conversation ? Vous voudriez pouvoir dire que vous attendiez ce fichier de cette personne sur ce sujet, et qu'il contient des détails que vous pouvez vérifier dans votre compte. La pression joue contre cela. L'urgence, le secret et la peur (« action en justice », « n'en parlez à personne », « compte fermé aujourd'hui ») accompagnés d'un fichier forment le schéma habituel. En cas de doute, contactez l'expéditeur avec des coordonnées que vous aviez avant l'arrivée de ce message. Si la facture est réelle, elle sera aussi dans votre compte.
Quand vous devez ouvrir un fichier d'un nouveau contact
Parfois, le fichier est tout l'enjeu : le CV d'un candidat, le premier devis d'un fournisseur, une réponse à quelque chose que vous avez mis en vente. Le but est alors de voir le contenu en donnant au fichier le moins de pouvoir possible. Ces options vont de la moins coûteuse à la plus coûteuse en effort, et la plupart des gens s'arrêteront après la deuxième ou la troisième.
Demandez-vous si vous avez besoin de l'ouvrir. Si le fichier est inattendu et l'histoire générique, supprimer coûte peu, puisque les vrais expéditeurs relancent.
Utilisez l'aperçu de votre service de messagerie. Les services de messagerie web affichent souvent les PDF, les images et les documents Office sur leurs propres serveurs : le fichier est donc affiché au lieu d'être exécuté sur votre appareil. Faites d'abord un aperçu, et ne téléchargez que si vous y êtes obligé. C'est l'habitude la plus utile pour quiconque reçoit des fichiers d'inconnus dans le cadre de son travail.
Ouvrez les documents en lecture seule. Rester en Mode protégé, ou ouvrir le fichier dans une suite bureautique en ligne, limite ce qu'il peut faire. Ne touchez pas à Activer la modification ni à Activer le contenu.
Analysez-le. Sous Windows, vous pouvez faire un clic droit sur un fichier enregistré et l'analyser avec Microsoft Defender, et d'autres produits de sécurité offrent la même chose. Pour un fichier qui ne contient rien de privé, un scanner en ligne multi-moteurs comme VirusTotal donne un second avis. Les fichiers envoyés à ce genre de service peuvent être partagés avec des entreprises de sécurité et des chercheurs : n'y envoyez donc jamais de contrats, de pièces d'identité, de factures ni rien de confidentiel. Un résultat propre n'est pas non plus une garantie, car un fichier nouveau ou personnalisé n'est peut-être encore détecté par rien.
Demandez un autre format. Un vrai candidat peut renvoyer un CV au format PDF standard. Un client peut coller le texte dans le corps de l'e-mail. Demander ne coûte rien, et quelqu'un qui tient à vous livrer un fichier précis a tendance à résister.
Utilisez un environnement isolé pour tout ce qui est inhabituel. Windows Sandbox est disponible dans les éditions Pro, Entreprise et Éducation de Windows, s'active via Activer ou désactiver des fonctionnalités Windows et nécessite que la virtualisation soit activée. Il vous donne un bureau jetable, et tout ce qu'il contient est supprimé à la fermeture. Il a quand même accès au réseau par défaut, sauf si vous le désactivez dans un fichier de configuration : un fichier qui s'y exécute peut donc atteindre internet, et vous ne devez vous connecter à rien depuis là. Une machine virtuelle ou un appareil de rechange remplit le même rôle.
Un test rapide avant de double-cliquer
Passez ces points en revue quand quelque chose vous semble louche. Deux réponses inquiétantes ou plus suffisent pour supprimer le message ou le vérifier d'abord.
- Est-ce que je connais cet expéditeur, et est-ce que j'attendais ce fichier maintenant ?
- L'adresse et le domaine réels correspondent-ils à l'identité annoncée ?
- Est-ce le type de fichier que j'attendrais pour ce sujet ?
- Le fichier est-il dans un conteneur, surtout protégé par mot de passe ?
- Le message pousse-t-il à l'urgence, au secret, au paiement ou à la connexion ?
- Le document me demande-t-il d'activer la modification, le contenu ou les macros ?
- Puis-je d'abord confirmer par un autre canal ?
Téléphones et Mac : différents, pas immunisés
Les programmes et scripts Windows ne s'exécutent tout simplement pas sur iOS ou Android, et les systèmes mobiles confinent les applications plus strictement que les systèmes de bureau traditionnels. Cela supprime une grande catégorie de menaces. Mais les téléphones ont leurs propres faiblesses, et le phishing marche au moins aussi bien sur un petit écran, où les adresses complètes sont cachées et où un faux bouton de connexion ressemble à n'importe quel autre.
Sur Android, le principal risque de fichier est l'APK, un paquet d'application envoyé en pièce jointe. Il ne peut être installé que si vous avez autorisé l'application qui l'a ouvert à installer des applications inconnues. Vérifiez cela sous Paramètres, Applications, Accès spécial des applications, Installer des applications inconnues, même si le chemin exact varie selon les fabricants. Gardez cette option désactivée pour votre application de messagerie et votre navigateur, et n'installez des applications que depuis les boutiques officielles. Sur iPhone et iPad, méfiez-vous des profils de configuration, qui peuvent modifier des réglages comme le VPN et les certificats de confiance. Les profils installés apparaissent sous Réglages, Général, VPN et gestion de l'appareil. N'en installez pas parce qu'un e-mail vous l'a demandé.
Les applications de messagerie sur téléphone ont aussi tendance à cacher l'adresse complète de l'expéditeur et l'extension du fichier, il faut donc toucher pour les révéler. Si un fichier paraît important et que vous ne pouvez pas lire ses détails confortablement, attendez d'être devant un écran plus grand. Très peu de pièces jointes honnêtes ne peuvent pas attendre une heure.
Les Mac ont leur propre protection, Gatekeeper, qui vérifie les applications téléchargées avant leur premier lancement et avertit pour les logiciels qui ne viennent pas d'un développeur identifié. Les instructions des arnaques vous disent parfois de contourner cet avertissement en ouvrant le fichier autrement ou en collant une commande dans le Terminal. Traitez ces instructions comme vous traiteriez « Activer le contenu » dans un document Word. Méfiez-vous des fichiers .dmg, .pkg, .app et .command venant d'inconnus, qui sont les équivalents Mac des premières lignes du tableau.
Les réglages qui changent la donne
Aucun ne demande d'outils de spécialiste. Parcourir cette liste une fois prend à peu près le temps d'une pause-café, et la plupart n'ont jamais besoin d'être refaits.
| Réglage | Où | À quoi il sert |
|---|---|---|
| Afficher les extensions de noms de fichiers | Menu Affichage de l'Explorateur de fichiers ; Réglages du Finder, Avancé | Doubles extensions et fichiers déguisés |
| Mises à jour automatiques | Paramètres du système et de la boutique d'applications | Failles connues des visionneuses, navigateurs et d'Office |
| Logiciel de sécurité activé | Sécurité Windows, ou le produit de votre choix | Logiciels malveillants connus à l'enregistrement ou à l'ouverture des fichiers |
| Mode protégé et blocage des macros | Office : Fichier, Options, Centre de gestion de la confidentialité, Paramètres du Centre de gestion de la confidentialité (normalement activés) | Documents qui exécutent du code sans votre décision |
| Bloquer l'installation d'applications inconnues | Android : Accès spécial des applications | Fichiers APK reçus par e-mail |
| Compte standard, sans droits d'administrateur, pour l'usage quotidien | Paramètres de compte du système | Logiciels malveillants qui obtiennent facilement des droits sur tout le système |
| Connexion multifacteur sur les comptes importants | Page de sécurité de chaque compte | Prise de contrôle d'un compte après un mot de passe volé |
| Une adresse distincte pour les inscriptions | Une adresse secondaire, un alias ou une boîte temporaire | Votre boîte principale qui devient une cible |
Pièces jointes courantes et comment elles tournent mal
Les situations ci-dessous sont des exemples de schémas fréquents. Ce qui compte dans chacune, c'est l'écart entre la façon dont la vraie chose arrive normalement et ce que vous avez sous les yeux.
| Ce qu'on prétend | À quoi ressemble la vraie chose | Ce qui doit vous arrêter | Que faire |
|---|---|---|---|
| Facture d'une entreprise que vous n'utilisez pas | Vous auriez un compte ou une commande | Aucune relation, et souvent une archive, un fichier HTML ou un document à macros | Supprimez-la |
| Facture d'une entreprise que vous utilisez | Visible dans votre compte, au format habituel | Nouveau format, nouvelles coordonnées bancaires, horaire bizarre | Connectez-vous directement ou appelez un numéro connu |
| « Aperçu » d'un document partagé | Un lien du service de partage, qui s'ouvre là où vous êtes déjà connecté | Un fichier HTML joint avec une page de connexion | Allez vous-même sur le service et cherchez le partage |
| CV ou portfolio | Un PDF ou un document standard | Une archive, un document à macros ou un lien vers un site de téléchargement douteux | Faites un aperçu, et demandez un format standard |
| Avis de messagerie vocale ou de fax | Beaucoup de systèmes téléphoniques envoient un fichier audio comme WAV ou MP3 | HTML, une archive ou un programme | Consultez le portail de votre système téléphonique |
| Fichier urgent de votre « responsable » | Canaux normaux et ton normal | Secret, précipitation, demande de paiement | Confirmez par téléphone ou en personne |
| Nouvelle pièce jointe dans un ancien fil | Écrite avec la voix de la personne et dans le sujet | Un « voir pièce jointe » générique, un type de fichier qu'elle n'envoie jamais | Contactez-la séparément avant d'ouvrir |
La ligne du candidat mérite un mot pour quiconque recrute. Le recrutement est précisément le cas où des inconnus sont censés vous envoyer des fichiers, c'est pourquoi les attaquants l'imitent. Une règle publiée du type « PDF uniquement, pas d'archives ni de liens » ne coûte rien aux vrais candidats et supprime l'essentiel du risque avant que quoi que ce soit n'arrive.
Pour les petites équipes
Si vous gérez la messagerie d'une équipe, quelques contrôles réduisent la part qui repose sur le jugement d'une seule personne par un après-midi chargé. Configurez le service de messagerie pour bloquer d'emblée les types à haut risque comme les programmes et les scripts, et pour retenir en vue d'un examen les archives protégées par mot de passe venant de l'extérieur. Publiez SPF, DKIM et DMARC pour votre propre domaine afin que votre nom soit plus difficile à falsifier, et lisez les rapports DMARC pour voir qui envoie en se faisant passer pour vous. Un bandeau visible sur les messages venant de l'extérieur de l'organisation aide à remarquer quand « le patron » écrit d'ailleurs.
En interne, les liens partagés depuis une plateforme de confiance valent mieux que les pièces jointes, car toute pièce jointe venant de l'extérieur ressort alors. Convenez d'une règle écrite : un changement de coordonnées bancaires est toujours confirmé par téléphone, à un numéro déjà enregistré, quelle que soit la personne qui le demande et l'urgence apparente. Et donnez à votre personnel un moyen de signaler un courrier suspect en un clic, et remerciez ceux qui l'utilisent, y compris ceux qui ont déjà cliqué. Quelqu'un que la gêne a réduit au silence offre à un intrus des heures de plus.
Si vous l'avez déjà ouvert
Les gens prudents font aussi cette erreur, généralement quand ils sont fatigués ou occupés. Les premières minutes comptent, et ce que vous faites dépend de ce qui s'est réellement passé.
Vous avez ouvert une image ou un PDF dans une visionneuse à jour et n'avez rien cliqué. Le risque réaliste est faible. Lancez une analyse et poursuivez, en restant attentif aux messages de relance.
Vous avez exécuté quelque chose, extrait quelque chose ou activé des macros. Suivez ces étapes dans l'ordre :
- Fermez le fichier et cessez de répondre à ses invites. Ne saisissez aucun mot de passe.
- Coupez le Wi-Fi ou débranchez le câble réseau. Cela peut empêcher un logiciel malveillant d'aller chercher d'autres composants ou d'envoyer des données.
- Sur un appareil professionnel, signalez-le tout de suite depuis un autre appareil, et n'essayez pas de nettoyer vous-même. Un signalement précoce permet au service informatique ou à l'équipe de sécurité de contenir le problème avant qu'il se propage.
- Lancez une analyse complète. Dans Sécurité Windows, allez dans Protection contre les virus et menaces, Options d'analyse, où une Analyse hors ligne de Microsoft Defender redémarre l'ordinateur et analyse avant le chargement de Windows.
- Depuis un autre appareil, sain, changez vos mots de passe importants, en commençant par la messagerie, car elle permet de tout réinitialiser. Faites ensuite la banque et tout ce à quoi vous vous êtes récemment connecté sur la machine touchée.
- Examinez les connexions récentes, les règles de transfert, les filtres et les applications connectées de votre compte de messagerie. Les attaquants ajoutent parfois une règle cachée pour continuer à recevoir votre courrier après le changement de mot de passe.
- Activez la connexion multifacteur, ou vérifiez qu'elle l'est toujours, pour les comptes qui comptent.
Vous avez saisi un mot de passe dans une page ouverte par la pièce jointe. Considérez ce mot de passe comme volé. Changez-le sur le vrai site en tapant vous-même l'adresse, et changez-le partout ailleurs où vous l'utilisiez.
Vous avez saisi des coordonnées de carte. Appelez votre banque ou l'émetteur de votre carte au numéro imprimé sur la carte, et demandez-leur de la bloquer.
L'appareil se comporte toujours bizarrement. De nouveaux programmes, des outils de sécurité désactivés et des redirections du navigateur sont des signes qu'une analyse n'a pas suffi. Restaurer une sauvegarde saine connue ou réinstaller le système est la solution fiable, et c'est pourquoi conserver une sauvegarde hors ligne ou versionnée fait partie, en pratique, de la sécurité des pièces jointes.
Où une boîte temporaire a sa place, et où elle n'en a pas
Tout ce qui précède agit après qu'un message risqué vous est parvenu. La confidentialité de la boîte agit plus tôt, en limitant qui peut atteindre votre adresse importante. Chaque site qui détient votre vraie adresse peut la laisser fuiter, la vendre ou être piraté. Réduire cette exposition, c'est moins d'expéditeurs inconnus plus tard, ce qui facilite aussi le repérage du fichier inattendu occasionnel. Notre article sur l'organisation de votre messagerie personnelle explique comment répartir les adresses selon le niveau de confiance.
Une boîte temporaire est un outil pour le niveau le plus bas. Si vous en utilisez une pour un téléchargement ponctuel ou une seule question sur un forum, quand les conditions du site le permettent, cet expéditeur n'apprend jamais votre adresse principale. Notre guide sur s'inscrire sans votre vraie adresse e-mail explique quand c'est approprié et quand une adresse permanente est le bon choix. Les développeurs utilisent aussi des boîtes temporaires pour vérifier que leur propre application envoie correctement des pièces jointes, sans remplir une boîte personnelle.
Soyez clair sur les limites. Une adresse temporaire protège votre adresse, pas votre appareil. Dès que vous téléchargez un fichier, toutes les vérifications de cet article s'appliquent pleinement. Les boîtes temporaires ne sont pas faites pour les contrats, les pièces d'identité, les dossiers médicaux ou financiers, et elles ne conviennent pas à la banque, aux services publics ni à tout compte que vous devez pouvoir récupérer. Toute personne qui connaît ou devine une adresse peut ouvrir cette boîte : une adresse aléatoire est donc le choix le plus sûr, et rien de confidentiel n'y a sa place.
Dans VookMail, une adresse est prête au chargement de la page, sans inscription. Les pièces jointes fonctionnent, dans les limites de taille, et la boîte affiche le message et liste les fichiers sans rien exécuter. Les fichiers de programmes courants comme .exe, .bat et .apk sont refusés, et les archives comme .zip affichent une mise en garde, qui est un bon rappel d'appliquer les étapes sur les archives ci-dessus. Nos domaines reçoivent le courrier via un fournisseur d'acheminement d'e-mails qui nous le transmet en HTTPS. Les messages et les pièces jointes sont supprimés après environ un jour : téléchargez rapidement ce dont vous avez besoin et ne considérez pas la boîte comme un espace de stockage. La politique de confidentialité et la page de méthodologie expliquent le traitement plus en détail.
Le bouton QR peut aussi aider à la prudence face aux pièces jointes. Il affiche votre adresse sous forme de code que vous pouvez scanner sur un autre appareil, où « Nouveau » ainsi que la même adresse et le même domaine ouvrent cette boîte : si vous préférez examiner un fichier douteux sur un téléphone ou un appareil de rechange plutôt que sur votre ordinateur principal, vous le pouvez. Un fichier téléchargé volontairement doit quand même correspondre à ce qu'on vous avait promis. Si un site proposait un guide PDF et que vous avez reçu un ZIP contenant un raccourci, supprimez-le.
Les erreurs à désapprendre
- Transférer un fichier suspect à un collègue « pour vérifier ». Cela propage le risque. Utilisez plutôt la voie de signalement de votre organisation.
- Extraire une archive pour voir ce qu'elle contient, alors que lister le contenu l'aurait appris.
- Utiliser un mot de passe fourni dans le même e-mail. Cela donne à l'attaquant ce qu'il voulait, un fichier que votre scanner n'a jamais vu.
- Cliquer sur Activer la modification par habitude. Pour un document que vous avez seulement besoin de lire, il n'y a rien à y gagner.
- Prendre une analyse propre pour une preuve. Elle signifie qu'aucun scanner n'a reconnu le fichier aujourd'hui.
- Envoyer des fichiers confidentiels à des scanners publics, qui peuvent partager des données privées avec des tiers.
- Retarder les mises à jour. Beaucoup d'attaques par pièce jointe visent des failles déjà corrigées dans les versions actuelles d'Office, des lecteurs PDF, des navigateurs et des systèmes d'exploitation.
- Se taire après un mauvais clic. Sur un compte professionnel, une heure de silence ne profite à personne d'autre qu'à l'attaquant.
Questions fréquentes
Peut-on attraper un virus rien qu'en ouvrant un e-mail ?
Dans une application de messagerie à jour, ouvrir et lire un message a très peu de chances d'infecter un appareil. Le danger commence généralement quand vous ouvrez ou exécutez une pièce jointe, activez des macros ou cliquez sur un lien. Charger des images peut cependant indiquer à l'expéditeur que vous avez ouvert le message, ce qui est un problème de confidentialité et non une infection.
Un antivirus me protège-t-il de toutes les pièces jointes malveillantes ?
Non. Les antivirus et les filtres de messagerie attrapent une grande part des menaces connues, mais des fichiers nouveaux ou personnalisés peuvent passer, et une fausse page de connexion peut ne contenir aucun logiciel malveillant. L'analyse est une couche parmi d'autres, avec la vérification de l'expéditeur, la connaissance des types de fichiers, le blocage des macros et les mises à jour.
Dois-je faire confiance à une pièce jointe parce qu'elle vient d'un ami ?
Faites confiance à la personne, et vérifiez quand même le message. Les comptes se font détourner : un fichier bizarre venant d'un ami avec un mot inhabituellement court vaut un petit SMS pour demander s'il l'a bien envoyé.
Est-il plus sûr d'ouvrir un fichier suspect sur mon téléphone ?
Cela peut l'être pour les programmes Windows, qui ne s'y exécuteront pas. Cela ne change rien contre les fausses pages de connexion, qui sont la menace la plus probable dans un PDF ou un fichier HTML. Un téléphone présente un risque différent, et un appareil de rechange ou un bac à sable est le meilleur choix quand vous voulez une vraie séparation.
Est-il sûr de recevoir des pièces jointes dans une boîte temporaire ?
Les recevoir revient au même que dans n'importe quelle boîte, puisque le service stocke et affiche le fichier sans l'exécuter. Ce qui compte, c'est ce qui se passe après le téléchargement. Appliquez les mêmes vérifications, et gardez tout contenu confidentiel hors d'une boîte que d'autres pourraient ouvrir en devinant l'adresse.