Notre boîte de courriel est devenue un passe-partout

Essayez Mot de passe oublié sur quelques services. Très souvent, la clé de retour arrive dans la même boîte de courriel. Cette boîte n’est donc plus seulement un outil de communication : elle est devenue un composant d’identité capable de réinitialiser plusieurs autres comptes.

Un flux de récupération normal commence par une adresse. Le service génère un jeton aléatoire, conserve une version protégée avec une expiration et envoie un lien. Lorsque l’utilisateur l’ouvre, le serveur vérifie le jeton, sa durée et son usage unique avant d’accepter un nouveau mot de passe.

demande -> jeton aléatoire -> courriel -> lien HTTPS
       -> vérification expiration/usage -> nouveau mot de passe

Le message ne devrait pas contenir l’ancien mot de passe. Le jeton doit expirer rapidement et devenir invalide après usage. Le service ne devrait pas révéler clairement si une adresse possède un compte, sinon le formulaire devient un outil d’inventaire pour l’attaquant.

L’hameçonnage copie l’interface, pas le serveur

Le fraudeur envoie un message urgent avec un lien ressemblant au domaine connu. La fausse page collecte l’identifiant et le mot de passe, puis peut rediriger vers le vrai site pour réduire le soupçon. Aucun bris du serveur original n’est nécessaire.

Le trajet de l’attaque peut tenir en six étapes :

1. enregistrer un domaine visuellement proche;
2. copier le HTML et les images de la page de connexion;
3. envoyer un message à grand volume;
4. enregistrer les identifiants soumis;
5. essayer le courriel, puis d’autres services à cause de la réutilisation;
6. modifier les moyens de récupération pour conserver l’accès.

Le cadenas n’est pas suffisant. HTTPS peut protéger parfaitement la connexion vers le faux domaine. Il faut vérifier le nom exact et arriver au service par une adresse connue ou un favori plutôt que par le lien alarmant.

Le mot de passe du courriel devrait être unique. Sinon, une fuite sur un petit forum donne directement la clé de récupération. Les questions secrètes ne devraient pas reposer sur des réponses publiques ou faciles à deviner. Les filtres et listes de sites suspects réduisent le volume, mais une nouvelle campagne peut passer avant sa classification.

Pour une équipe, « soyez prudents » n’est pas une procédure. Je fournirais un bouton ou une adresse de signalement, conserverais le message avec ses en-têtes, bloquerais le domaine au besoin et chercherais les accès inhabituels. Après une compromission, on change d’abord le courriel depuis un poste sain, révoque les sessions, corrige les moyens de récupération, puis traite les comptes liés. Changer seulement le mot de passe d’un site laisse parfois l’attaquant utiliser la boîte déjà ouverte.

Les journaux doivent montrer les demandes de réinitialisation, les changements de récupération et les connexions nouvelles sans enregistrer les secrets. Une alerte après modification d’adresse donne à l’utilisateur un chemin pour réagir.

En 2009, la protection pratique reste un mot de passe unique pour la boîte, une adresse tapée manuellement et une récupération bien conçue côté serveur. Il faut traiter le courriel comme une racine d’identité : une compromission ne se limite pas aux messages lus, elle ouvre la chaîne de réinitialisation derrière.

Mise à jour de 2026

Le mot de passe unique et l’adresse tapée manuellement restent de bons réflexes, mais ils ne suffisent plus. Un compte important devrait utiliser l’authentification multifacteur et, lorsque la plateforme le permet, une méthode résistante à l’hameçonnage comme FIDO/WebAuthn ou une passkey. Un code que l’on peut recopier sur une fausse page peut encore être volé. Le NIST explique les limites des mots de passe et des codes OTP contre l’hameçonnage, et la CISA recommande FIDO/WebAuthn lorsque c’est possible.