Mots de passe et adresse e-mail détournée : piratage ou usurpation ?

Module 3: Gérer votre boîte mail · Temps de lecture : 10 minutes

Objectif pédagogique : après cette leçon, vous saurez bien sécuriser votre boîte mail, reconnaître la différence entre un expéditeur usurpé et une boîte mail détournée, et prendre les bonnes mesures dans les deux cas.

Notions clés : mot de passe fort, phrase de passe, gestionnaire de mots de passe, réutilisation, fuite de données, force brute, blocage d'IP, authentification à deux facteurs, mot de passe d'application, hameçonnage (phishing), usurpation d'adresse (spoofing), backscatter, boîte mail détournée, règles et redirections suspectes, limite d'envoi

Deux types de « mon adresse envoie du spam »

Presque chaque administrateur l'entend un jour : « il part du spam depuis mon adresse ». Il existe deux causes très différentes, et l'approche diffère selon le cas.

1. Usurpation (spoofing) : personne n'est entré dans votre boîte mail

Une adresse d'expéditeur n'est qu'un simple texte. N'importe qui peut envoyer un e-mail avec De: info@example.com, via son propre serveur, sans jamais accéder à votre boîte mail. C'est ce qu'on appelle le spoofing.

Voici comment le reconnaître :

• Vous recevez soudainement des dizaines voire des centaines de bounces concernant des e-mails que vous n'avez jamais envoyés, souvent vers des adresses inconnues. C'est le backscatter : les destinataires ont refusé l'e-mail falsifié et ont renvoyé le message d'erreur à l'adresse qui y figurait, c'est-à-dire la vôtre.
• Votre dossier Envoyé ne contient rien.
• Dans les journaux de votre serveur de messagerie (dans de nombreux panneaux : une fonction comme « suivi des e-mails »), vous ne voyez pas ces messages comme du courrier sortant.
• Dans les en-têtes d'un tel e-mail retourné (leçon 1.5), figure une ligne Received d'un serveur qui n'est pas le vôtre.

Changer votre mot de passe n'y change rien : personne ne le possédait. Ce qui aide réellement, c'est le DMARC (leçon 4.4). Avec p=quarantine ou p=reject, vous indiquez aux destinataires qu'ils doivent mettre en quarantaine ou rejeter le courrier qui ne passe pas votre SPF ou votre DKIM. L'e-mail falsifié arrive alors moins souvent, et moins de personnes sont escroquées en usurpant votre nom. Les bounces s'arrêtent généralement d'eux-mêmes après quelques jours ; vous pouvez les supprimer.

2. Une boîte mail détournée : quelqu'un possède votre mot de passe

Si quelqu'un possède votre mot de passe, il se connecte à votre serveur et envoie réellement du spam via votre boîte mail. C'est beaucoup plus grave : le spam provient d'un serveur de confiance avec votre SPF et votre DKIM valides, et il arrive donc souvent à destination. Et le serveur perd sa bonne réputation (leçon 5.2).

Voici comment le reconnaître :

• Dans le journal du serveur, vous voyez du courrier sortant que vous n'avez pas envoyé, souvent en grand nombre.
• Le nombre de messages envoyés depuis votre boîte mail est bien plus élevé que d'habitude, ou vous atteignez soudainement la limite d'envoi.
• Votre hébergeur vous le signale, ou bloque l'envoi.
• Votre boîte mail contient des éléments que vous ne reconnaissez pas : une règle de redirection vers une adresse inconnue, un filtre qui déplace immédiatement certains e-mails (par exemple de votre banque ou de votre hébergeur) vers la corbeille, une autre adresse de réponse (Reply-To) dans vos paramètres, ou un message d'absence.

Ces règles sont une astuce bien connue. Un attaquant qui prend le contrôle de votre boîte mail veut souvent lire vos messages longtemps sans être détecté, par exemple pour envoyer au bon moment une fausse facture avec un autre numéro de compte. Une règle de redirection vers sa propre adresse continue de fonctionner, même après que vous avez changé votre mot de passe.

Comment obtient-on votre mot de passe ?

• Hameçonnage (phishing) : un faux e-mail avec un lien vers une page de connexion imitée (« votre boîte mail est pleine, connectez-vous ici »). La cause la plus fréquente.
• Réutilisation : vous utilisez le même mot de passe sur une boutique en ligne ou un forum, qui se fait pirater. Les combinaisons volées d'adresse e-mail et de mot de passe sont ensuite automatiquement testées sur des serveurs de messagerie. Avec des services comme Have I Been Pwned, vous pouvez vérifier si votre adresse figure dans une fuite de données connue.
• Devinette : des mots de passe courts ou évidents (Welkom2026!, le nom de l'entreprise) sont devinés par force brute : des milliers de tentatives les unes après les autres.
• Logiciel malveillant (malware) sur votre ordinateur qui intercepte les mots de passe ou les récupère depuis votre navigateur.

Bien sécuriser votre boîte mail

1. Un mot de passe long et unique par boîte mail. La longueur compte plus que les caractères bizarres. Une phrase de passe de quatre ou cinq mots distincts est forte et facile à retenir. Ne l'utilisez nulle part ailleurs.
2. Un gestionnaire de mots de passe. Vous n'avez alors plus besoin de retenir tous ces mots de passe, et la réutilisation n'est plus nécessaire.
3. L'authentification à deux facteurs partout où c'est possible. Pour le courrier professionnel dans le cloud (Microsoft 365, Google Workspace) et pour le panneau client de votre hébergeur, c'est généralement possible. Pour une boîte mail IMAP classique, ce n'est souvent pas possible pour IMAP et SMTP eux-mêmes, car les logiciels de messagerie n'envoient qu'un mot de passe. Certains services fonctionnent alors avec des mots de passe d'application : un mot de passe distinct et long par programme, que vous pouvez révoquer sans changer votre mot de passe principal.
4. Soyez prudent quant à l'endroit où vous vous connectez. Ne saisissez votre mot de passe que dans votre propre logiciel de messagerie ou sur l'adresse réelle de votre webmail. Un hébergeur ne demande jamais votre mot de passe par e-mail.
5. Connaissez la sécurité de votre serveur. De nombreux serveurs bloquent une adresse IP après un certain nombre de tentatives de connexion échouées. Cela protège contre la force brute, mais cela signifie aussi qu'un vieil appareil avec un mot de passe erroné (une vieille tablette, une imprimante qui numérise vers l'e-mail) peut faire bloquer tout le réseau de votre bureau.

Que faire en cas de boîte mail détournée ?

Faites ceci immédiatement, dans cet ordre :

1. Changez le mot de passe dans le panneau de votre hébergeur (pas via un lien provenant d'un e-mail). Choisissez un nouveau mot de passe unique.
2. Vérifiez les règles de redirection, les filtres, les alias et le message d'absence, aussi bien dans le webmail que dans le panneau. Supprimez tout ce que vous n'avez pas créé vous-même.
3. Vérifiez quels appareils et programmes se connectent et saisissez partout le nouveau mot de passe. Un appareil oublié avec l'ancien mot de passe peut faire bloquer votre IP.
4. Analysez votre ordinateur à la recherche de logiciels malveillants, surtout si vous n'avez pas cliqué sur un lien de hameçonnage.
5. Changez aussi le mot de passe ailleurs si vous l'aviez réutilisé, ainsi que le mot de passe de votre panneau client s'il était identique.
6. Signalez-le à votre hébergeur. Il peut voir ce qui a été envoyé, nettoyer la file d'attente et lever un blocage.
7. Prévenez vos contacts si des e-mails leur ont été envoyés, surtout en cas de fausses factures. Une fuite de données à caractère personnel peut aussi, au titre du RGPD, nécessiter une déclaration auprès de l'autorité de protection des données ; vérifiez ce point en cas de doute.

Une boîte mail détournée est rarement un cas isolé. Vérifiez aussi que votre site web n'envoie pas de spam : un formulaire de contact non sécurisé ou une extension piratée peut aussi envoyer des e-mails en votre nom (leçon 7.3).

En pratique : à quoi cela ressemble dans un panneau

Dans DirectAdmin, vous modifiez le mot de passe d'une boîte mail dans Comptes E-mail, via les trois points et Modifier le mot de passe / Nom d'utilisateur ; dans la colonne Envoyé, vous voyez combien d'e-mails une boîte mail a envoyés aujourd'hui. Avec Suivi des e-mails, vous voyez si un message a réellement été envoyé via le serveur. Les redirections se trouvent sous Redirections, les messages d'absence sous Auto-répondeurs, et dans le webmail sous Paramètres. D'autres panneaux disposent de fonctions similaires, souvent sous des noms comme « trace des messages », « message trace » ou « règles de boîte mail ».

Résumé

• Des bounces concernant des e-mails que vous n'avez pas envoyés, sans rien dans votre dossier Envoyé : usurpation. C'est le DMARC qui aide, pas un nouveau mot de passe.
• Du spam sortant réel dans le journal du serveur : boîte mail détournée. Changez le mot de passe, vérifiez les règles et les redirections, mettez à jour les appareils, informez votre hébergeur.
• Les attaquants mettent souvent en place une règle de redirection ou un filtre, afin de continuer à lire vos messages.
• Utilisez un mot de passe long et unique par boîte mail, un gestionnaire de mots de passe et, si possible, l'authentification à deux facteurs ou des mots de passe d'application.

Quiz

Exercice

Exercice O3.4 : Vérification de sécurité de votre boîte mail. Passez en revue votre propre boîte mail. Le mot de passe est-il unique et long, et se trouve-t-il dans un gestionnaire de mots de passe ? Recherchez votre adresse sur un service de fuite de données (comme Have I Been Pwned) et notez si elle apparaît dans une fuite. Vérifiez dans le webmail ou le panneau toutes les règles de redirection, les filtres, l'adresse de réponse et le message d'absence. Notez quels appareils utilisent la boîte mail. Répondez ensuite : si demain vous recevez des bounces concernant des e-mails que vous n'avez pas envoyés, comment déterminez-vous s'il s'agit d'une usurpation ou d'un piratage ?

Pour aller plus loin

Les étapes décrites dans ces articles s'appliquent aux panneaux de WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• Guide DirectAdmin 9.6: Que faire en cas d'utilisation abusive de votre adresse e-mail
• Guide DirectAdmin 7.2: Modifier le mot de passe d'une adresse e-mail
• Guide DirectAdmin 9.3: Suivi des e-mails : où est passé mon message ?
• Comment modifier le mot de passe ou les limites de mon adresse e-mail ?
• Boîte mail compromise ou spam envoyé depuis votre adresse : comment faire le ménage
• NCSC, conseils sur les mots de passe et l'authentification à deux facteurs (Pays-Bas) : https://www.ncsc.nl