Ouvrir les pièces jointes en toute sécurité

Module 2: Lire ses e-mails · Temps de lecture : 9 minutes

Objectif pédagogique : À la fin de cette leçon, vous savez comment une pièce jointe est intégrée à un e-mail, quels types de fichiers sont dangereux et pourquoi, comment lire un nom de fichier et quoi faire en cas de doute.

Notions clés : MIME, pièce jointe, base64, extension de fichier, fichier exécutable, macro, pièce jointe html, double extension, aperçu dans le navigateur, autre canal

Comment une pièce jointe est intégrée à un e-mail

Techniquement, un e-mail n'est que du texte. Pourtant, vous pouvez envoyer des photos, des PDF et des tableurs. C'est possible grâce à MIME : une convention qui décrit comment découper un e-mail en plusieurs parties. Un e-mail avec une pièce jointe comporte au moins deux parties : le texte du message et le fichier. Chaque partie possède ses propres en-têtes, par exemple :

Content-Type: application/pdf; name="offerte-bruidsboeket.pdf"
Content-Disposition: attachment; filename="offerte-bruidsboeket.pdf"
Content-Transfer-Encoding: base64

JVBERi0xLjcKJcfsj6IKNSAwIG9iago8PC9MZW5ndGggNiAwIFIvRmlsdGVy
...

Le fichier lui-même est converti en texte avec base64 : chaque groupe de 3 octets devient 4 caractères. Une pièce jointe grossit donc d'environ un tiers pendant le transport. Vous en saurez plus dans la leçon 3.3. Avec Plus > Afficher la source, vous pouvez le constater vous-même pour tout e-mail contenant une pièce jointe.

Le point essentiel : c'est l'expéditeur qui choisit le nom du fichier et le type de fichier (Content-Type). Personne ne vérifie en chemin qu'un fichier nommé « factuur.pdf » (facture.pdf) est vraiment un PDF. Le nom est une étiquette, pas une preuve.

Pourquoi certains fichiers sont dangereux

Un fichier est dangereux s'il peut agir sur votre ordinateur dès que vous l'ouvrez. Une photo ou un PDF ordinaire vous montre quelque chose. Un programme exécute des commandes. La différence se trouve dans l'extension de fichier : les lettres qui suivent le dernier point du nom. C'est sur cette base que votre ordinateur choisit le programme qui ouvre le fichier.

N'ouvrez les types suivants que si vous les attendez vraiment et que vous avez vérifié l'expéditeur par un autre canal :

• Fichiers exécutables et scripts : .exe, .scr, .bat, .cmd, .js, .vbs, .hta. Ce sont des programmes ou des commandes. Les ouvrir, c'est les lancer. Un client, un fournisseur ou une banque ordinaire ne vous enverra jamais cela par e-mail.
• Raccourcis et images disque : .lnk, .iso, .img. Un fichier .lnk peut lancer une commande. Windows ouvre un fichier .iso ou .img comme un disque supplémentaire, qui contient alors souvent un programme ou un raccourci. Les attaquants utilisent cet emballage pour contourner les antivirus.
• Fichiers Office avec macros : .docm, .xlsm et similaires. Une macro est un petit programme intégré à un document. Office bloque généralement les macros des fichiers provenant d'Internet, mais l'attaque vise justement à vous les faire activer quand même. Un document qui vous demande de cliquer sur « Activer le contenu » ou « Activer la modification » pour afficher le texte est un signal d'alarme.
• Pièces jointes html : .html ou .htm. Votre navigateur les ouvre comme une page web. Il s'agit souvent d'une fausse page de connexion, par exemple de votre webmail ou de Microsoft, avec votre propre adresse déjà remplie. Ce que vous saisissez part chez l'attaquant. Comme le fichier se trouve sur votre propre ordinateur, vous ne voyez aucune adresse web suspecte dans la barre d'adresse.
• Fichiers zip protégés par un mot de passe, lorsque le mot de passe figure dans l'e-mail lui-même. Un antivirus ne peut pas regarder à l'intérieur d'une archive chiffrée. C'est précisément pour cela que les attaquants procèdent ainsi. Un zip ordinaire sans mot de passe n'est pas forcément suspect, mais regardez ce qu'il contient avant d'ouvrir quoi que ce soit.

Et le PDF ? Un PDF peut généralement être consulté sans danger, surtout dans le navigateur. Le danger vient de son contenu : un bouton « Voir la facture » ou un code QR qui mène à une fausse page de connexion. Traitez un lien dans un PDF avec autant de prudence qu'un lien dans un e-mail (leçon 2.4).

Lisez le nom de droite à gauche

Par défaut, Windows masque l'extension des types de fichiers connus. Un fichier nommé

offerte-bruidsboeket.pdf.exe

s'affiche alors comme « offerte-bruidsboeket.pdf ». Pour Windows, seule la dernière extension compte : il s'agit d'un programme. L'icône ne prouve rien non plus, car un programme peut recevoir n'importe quelle icône, y compris celle d'un PDF.

Le webmail affiche le nom tel qu'il figure dans l'e-mail, avec toutes ses extensions. Lisez-le donc dans le webmail, avant de télécharger quoi que ce soit. Si le nom est trop long et tronqué, regardez la valeur filename dans Plus > Afficher la source. Commencez par la droite : qu'y a-t-il après le dernier point ? Méfiez-vous aussi des noms longs avec beaucoup d'espaces avant la vraie extension, et des noms comme « Factuur_2026_pdf.zip » : ils contiennent « pdf » mais sont un zip.

Astuce pour Windows : dans l'Explorateur de fichiers, activez l'affichage des extensions de noms de fichiers dans le menu Affichage. Vous verrez alors toujours la vraie extension.

Consulter ou télécharger ?

Si vous cliquez dans le webmail sur le nom d'une pièce jointe, le webmail l'ouvre dans une nouvelle fenêtre lorsque votre navigateur sait afficher ce type de fichier, comme un PDF ou une photo. C'est la façon la plus sûre de la consulter : le navigateur affiche le fichier dans son propre environnement isolé et ne lance aucun programme sur votre ordinateur.

Si vous téléchargez une pièce jointe et l'ouvrez depuis votre ordinateur, elle s'ouvre avec le programme associé à son extension : Word, Excel ou, pour un .exe, le fichier lui-même. C'est là que se situe le risque. Ne téléchargez donc que ce dont vous avez besoin et ce que vous attendez.

L'image montre un message avec deux photos en pièce jointe et le lien Télécharger tous les fichiers joints. Ce lien vous fournit un seul fichier zip contenant toutes les pièces jointes. C'est pratique, mais vous téléchargez ainsi aussi des pièces jointes que vous n'avez pas consultées.

La confiance dépend de la situation

Une pièce jointe n'est pas sûre ou dangereuse uniquement en fonction de son type de fichier. La situation compte aussi. Posez-vous trois questions :

1. Est-ce que je l'attends ? Sanne a demandé à Ahmed une photo de la robe ; un .jpg d'Ahmed est donc logique. Une « facture » inattendue d'une entreprise chez qui elle n'a jamais rien acheté ne l'est pas.
2. Le fichier correspond-il au contexte ? Un devis est un PDF. Un devis en .html, en .iso ou en zip protégé par mot de passe ne correspond pas.
3. L'expéditeur est-il le bon ? Regardez l'adresse et le domaine (leçon 2.2). Mais attention : un véritable expéditeur peut aussi avoir été piraté. Si la boîte mail de Daan a été compromise, une pièce jointe dangereuse arrive tout simplement de daan@example.com, souvent sous forme de réponse dans une conversation existante.

En cas de doute, renseignez-vous par un autre canal : appelez l'expéditeur à un numéro que vous aviez déjà, ou envoyez un nouveau message (pas une réponse à l'e-mail suspect). Un véritable expéditeur ne trouvera pas cela étrange.

Vous avez malgré tout ouvert quelque chose de suspect ? Déconnectez l'ordinateur du réseau, changez vos mots de passe depuis un autre appareil et faites appel à de l'aide. La formation Sécurité en ligne décrit cela étape par étape.

En pratique : comment cela fonctionne dans le webmail

Dans le webmail, les pièces jointes figurent au-dessus du texte du message. Cliquez sur le nom pour la consulter ; la petite flèche à côté du nom vous permet notamment de la télécharger. Télécharger tous les fichiers joints fournit un seul fichier zip. Le manuel de Roundcube décrit les boutons dans la section Ouvrir et enregistrer les pièces jointes. Dans d'autres webmails, comme Gmail ou Outlook.com, le fonctionnement est similaire : là aussi, vous pouvez d'abord consulter une pièce jointe dans le navigateur avant de la télécharger.

Résumé

• Une pièce jointe est une partie de l'e-mail (MIME), encodée en texte avec base64 ; le nom et le type sont choisis par l'expéditeur lui-même.
• Sont dangereux : les programmes et scripts, les raccourcis et images disque, les fichiers Office avec macros, les pièces jointes html et les zip protégés par mot de passe.
• Lisez un nom de fichier de droite à gauche ; seule la dernière extension compte et l'icône ne prouve rien.
• Consulter dans le navigateur est plus sûr que télécharger puis ouvrir.
• En cas de doute, vérifiez par un autre canal ; un expéditeur connu peut lui aussi avoir été piraté.

Quiz

Exercice

Exercice A2.3 : À quelles pièces jointes ne faites-vous pas confiance ? Le matériel bijlagen-1.txt se trouve sous cet exercice : dix pièces jointes numérotées, chacune avec l'expéditeur et la situation dans laquelle l'e-mail est arrivé. Évaluez chaque pièce jointe à l'aide des trois questions de cette leçon (est-ce que je l'attends, le fichier correspond-il au contexte, l'expéditeur est-il le bon) et de ce que vous savez sur les extensions. Saisissez les numéros des pièces jointes que vous n'ouvrez pas. Le programme compare votre sélection avec le corrigé et indique pour chaque pièce jointe si votre choix est correct, avec la raison.

Pour aller plus loin

Lorsque des étapes dans le webmail sont décrites, elles s'appliquent au webmail de WebOké ; dans d'autres webmails, le fonctionnement est similaire.

• Roundcube Webmail 3.2: Ouvrir et enregistrer des fichiers joints
• Formation gratuite Sécurité en ligne pour les entrepreneurs 1.2: Phishing, fraude au président et fraude à la facture
• Formation gratuite Sécurité en ligne pour les entrepreneurs 3.5: Vous avez cliqué : que faire maintenant ?
• Boîte mail compromise ou spam envoyé depuis votre adresse : comment faire le ménage
• RFC 2045, MIME partie 1, avec base64 (en anglais) : https://www.rfc-editor.org/rfc/rfc2045