Email spoofing : pourquoi les tentatives d’usurpation d’adresses Gmail, Outlook ou Yahoo se multiplient ?

Les campagnes de spam et de phishing évoluent en permanence. Ces dernières semaines, nous constatons notamment une recrudescence de messages utilisant des adresses issues de services de messagerie grand public tels que Gmail, Outlook, Hotmail ou Yahoo afin de tromper leurs destinataires.

Ces messages peuvent sembler parfaitement anodins au premier regard. Le nom de l’expéditeur est familier, l’adresse affichée ressemble à une véritable adresse Gmail et le contenu du message ne présente parfois aucune faute évidente.

Pourtant, derrière cette apparence légitime, certains éléments techniques permettent de constater que le message n’a probablement pas été envoyé par l’expéditeur affiché.

C’est notamment ce que permettent d’identifier les mécanismes de détection associés au signal d’email spoofing .

Qu’est-ce qu’un mail « Email spoofing » ?

Le terme « freemail » désigne les services de messagerie accessibles gratuitement au grand public, comme Gmail, Outlook.com, Hotmail ou Yahoo Mail.

Le spoofing, ou usurpation d’identité, consiste quant à lui à faire apparaître une adresse ou une identité différente de celle réellement utilisée pour envoyer le message.

Un message peut par exemple afficher :

From: direction.entreprise@gmail.com

alors que son parcours technique montre qu’il a été envoyé depuis une infrastructure totalement étrangère à Google.

Pour le destinataire, le mail semble provenir d’une adresse Gmail classique. Pour une solution de sécurité capable d’analyser les en-têtes SMTP et le chemin réellement emprunté par le message, plusieurs incohérences peuvent cependant apparaître.

C’est précisément ce type de situation que le signal d’email spoofing cherche à mettre clairement en évidence.

Pourquoi les cybercriminels utilisent-ils des adresses Gmail ou Outlook ?

L’utilisation d’une adresse de messagerie grand public présente plusieurs avantages pour un attaquant.

Tout d’abord, ces domaines inspirent naturellement confiance. Voir une adresse se terminant par @gmail.com ou @outlook.com ne provoque généralement aucune méfiance particulière.

Cette technique permet également de contourner certains réflexes de vigilance. Un collaborateur sera parfois plus attentif devant un domaine inconnu que devant une adresse Gmail qui semble appartenir à un client, un fournisseur ou un dirigeant.

Les attaquants peuvent ainsi utiliser ces adresses dans différents scénarios :

• demande urgente de paiement ;
• changement de coordonnées bancaires ;
• faux partage de document ;
• demande de devis ou de renseignements ;
• fausse facture ;
• demande de connexion à Microsoft 365 ou Google Workspace ;
• message prétendument envoyé par un dirigeant ou un collaborateur ;
• lien vers une page de récupération d’identifiants.

L’objectif reste généralement le même : obtenir la confiance du destinataire avant de l’inciter à effectuer une action.

Une adresse affichée ne suffit pas à identifier l’expéditeur

L’une des difficultés de la sécurité de la messagerie vient du fonctionnement historique du protocole SMTP.

L’adresse visible dans le champ « De » d’un message ne constitue pas, à elle seule, une preuve de l’identité réelle de l’expéditeur.

Un attaquant peut tenter d’afficher une adresse qui ne lui appartient pas.

Pour déterminer l’origine réelle d’un message, il est donc nécessaire d’analyser plusieurs informations techniques : les serveurs ayant transporté le mail, l’adresse utilisée pendant la transaction SMTP, les signatures cryptographiques ou encore les résultats des mécanismes d’authentification.

C’est là qu’interviennent notamment SPF, DKIM et DMARC.

SPF, DKIM et DMARC : trois éléments essentiels

SPF permet au propriétaire d’un domaine d’indiquer quels serveurs sont autorisés à envoyer des messages pour son compte.

DKIM ajoute une signature cryptographique au message afin de permettre au serveur destinataire de vérifier qu’il a bien été signé par une infrastructure autorisée.

DMARC complète ces mécanismes en vérifiant notamment la cohérence entre le domaine visible par l’utilisateur et les domaines réellement utilisés pour l’authentification du message.

Un mail prétendant provenir d’une adresse Gmail mais envoyé depuis une infrastructure inconnue pourra ainsi présenter différentes incohérences.

La présence d’un signal comme SPOOFED_FREEMAIL devient alors particulièrement intéressante lorsqu’elle est corrélée avec d’autres anomalies.

Un signal de sécurité ne doit jamais être analysé seul

La détection du spam moderne repose sur une combinaison de signaux.

Un message marqué SPOOFED_FREEMAIL n’est pas nécessairement malveillant.

Certaines architectures légitimes peuvent générer des situations atypiques : listes de diffusion, systèmes de ticketing, logiciels métiers, services de routage SMTP ou plateformes d’envoi intermédiaires.

C’est pourquoi MailSecure ne considère pas un indicateur isolé comme une preuve suffisante de phishing.

L’analyse doit être globale.

La solution peut notamment prendre en considération :

• l’adresse IP du serveur expéditeur ;
• sa réputation ;
• son reverse DNS ;
• les résultats SPF ;
• les signatures DKIM ;
• la politique DMARC ;
• le domaine du Return-Path ;
• les en-têtes SMTP ;
• les URLs présentes dans le message ;
• la réputation des domaines contactés ;
• le contenu du message ;
• les résultats des moteurs antispam ;
• les informations issues du référentiel MailSecure Threat Intelligence ;
• différents signaux comportementaux et techniques.

Cette corrélation permet de distinguer plus efficacement une configuration de messagerie inhabituelle d’une véritable tentative d’usurpation.

Le cas Email spoofing NO_RDNS

Un autre signal peut également être rencontré : SPOOFED_FREEMAIL_NO_RDNS.

Dans ce cas, deux anomalies sont présentes simultanément.

Le message présente des caractéristiques correspondant à une possible usurpation d’adresse freemail et le serveur expéditeur ne possède pas de reverse DNS exploitable.

L’absence de reverse DNS n’est pas une preuve absolue de malveillance, mais elle constitue une anomalie supplémentaire pour un serveur SMTP exposé sur Internet.

Lorsque plusieurs signaux de ce type apparaissent simultanément, le niveau de suspicion augmente naturellement.

Pourquoi ces attaques restent efficaces

L’usurpation d’adresse électronique exploite avant tout un comportement humain : nous avons tendance à regarder le nom ou l’adresse affichée avant de nous intéresser à l’origine technique du message.

Or, dans un contexte professionnel, quelques secondes peuvent suffire pour qu’un utilisateur ouvre une pièce jointe, clique sur un lien ou réponde à une demande urgente.

Les attaquants perfectionnent également leurs messages.

Les fautes d’orthographe grossières et les mises en page approximatives ne sont plus systématiques. Certains mails de phishing présentent aujourd’hui un contenu très crédible, une signature professionnelle et un contexte cohérent.

Cybermalveillance.gouv.fr rappelle d’ailleurs que l’hameçonnage reste l’une des principales menaces rencontrées par les internautes et les organisations. Dans son bilan consacré à l’année 2025, le phishing représentait environ un tiers des demandes d’assistance recensées, tous publics confondus.

Microsoft souligne également que certains messages frauduleux utilisent une adresse source usurpée afin de donner l’impression qu’ils proviennent d’un expéditeur de confiance.

Comment MailSecure protège les messageries contre ces tentatives

MailSecure analyse les messages avant leur arrivée dans la boîte mail de l’utilisateur.

L’objectif n’est pas uniquement de rechercher des mots suspects ou de comparer l’expéditeur à une liste noire.

Chaque message est analysé à travers plusieurs couches de sécurité afin de rechercher des incohérences entre l’identité affichée, l’infrastructure d’envoi et le contenu réellement transmis.

Lorsqu’une adresse Gmail, Outlook ou provenant d’un autre fournisseur de messagerie est utilisée de manière inhabituelle, MailSecure peut croiser cette information avec les autres résultats de l’analyse.

Un signal SPOOFED_FREEMAIL associé à une mauvaise réputation IP, une authentification incohérente, un domaine malveillant ou une URL de phishing aura ainsi beaucoup plus de poids qu’un indicateur isolé.

Cette approche permet de renforcer la détection tout en limitant les faux positifs.

Les bons réflexes à conserver

Même avec une protection de messagerie avancée, la vigilance des utilisateurs reste importante.

Une demande inhabituelle doit toujours attirer l’attention, en particulier lorsqu’elle concerne un paiement, un changement de RIB, un mot de passe ou l’ouverture d’un document externe.

Quelques réflexes simples permettent de réduire les risques :

• vérifier l’adresse complète de l’expéditeur ;
• se méfier des demandes urgentes ou inhabituelles ;
• ne jamais communiquer un mot de passe par email ;
• vérifier l’adresse d’un site avant d’y saisir ses identifiants ;
• confirmer par un autre moyen toute demande financière sensible ;
• signaler les messages suspects au service informatique.

Une protection qui doit s’adapter aux nouvelles campagnes

Le spam et le phishing ne reposent plus sur une seule technique.

Les cybercriminels combinent désormais usurpation d’identité, infrastructures légitimes détournées, services cloud, redirections d’URLs et contenus de plus en plus crédibles.

La détection doit donc elle aussi évoluer.

Avec MailSecure, l’analyse d’un message ne repose pas sur un unique indicateur mais sur la corrélation de nombreux signaux techniques, réputationnels et comportementaux.

La recrudescence actuelle des messages associés à des tentatives de spoofing de comptes Gmail, Outlook ou Yahoo rappelle une nouvelle fois qu’en matière de sécurité email, l’adresse affichée ne garantit jamais à elle seule l’identité réelle de l’expéditeur.