Le coup de gueule de l’une des figures les plus éminentes de la cybersécurité, Troy Hunt, est remonté en tête de la communauté Hacker News, récoltant près de 200 votes positifs et plus de 40 commentaires : les e-mails officiels envoyés par FedEx ressemblent encore plus à des escroqueries que ceux émanant de vrais piratages.
Troy Hunt est le créateur du site “Have I Been Pwned”, une référence mondiale permettant de vérifier si un compte a été compromis dans une fuite de données. En février 2024, il a publié son expérience personnelle sous le titre « Thanks FedEx, this is why we keep getting phished ». Deux ans plus tard, le fait que cet article refasse surface au sommet de Hacker News prouve que la situation n’a pas évolué d’un iota.
Voici ce qui s’est passé.
Troy attendait la livraison d’une imprimante 3D en provenance des États-Unis, d’une valeur de 799 USD (environ 1 215 AUD), ce qui supposait d’éventuels droits de douane à régler auprès des douanes australiennes. Il a alors reçu un SMS :
« Alerte FedEx : Votre colis numéro 216.21 nécessite un paiement urgent des droits et taxes de 216.21 pour organiser la livraison. Veuillez payer aujourd’hui via le lien ci-dessous. »
Figure : SMS officiel de paiement de douane envoyé par FedEx. Source : troyhunt.com
Remarquez les chiffres : le numéro de colis indiquait 216.21, et le montant dû s’élevait également à 216.21. Obtenir un identifiant de suivi rigoureusement identique au montant des taxes constitue en soi un signal d’alarme majeur. De plus, le lien pointait vers bpoint.com.au, un nom de domaine évoquant immédiatement un site frauduleux.
Troy a partagé la capture sur X (anciennement Twitter) et a demandé l’avis de plus de 4 000 abonnés. Un résultat sans appel : 87 % des votants ont jugé le message « extrêmement suspect ». Il a relevé 7 anomalies flagrantes : casse incorrecte du nom de la marque, numéro de suivi anormalement court, ton trop pressant, absence de symbole monétaire, domaine de lien externe à FedEx et fautes de grammaire.
Figure : SMS de hameçonnage envoyé par des escrocs prétextant une erreur d’adresse. Source : troyhunt.com
En le comparant aux SMS des piratages habituels — « Votre colis est retenu en raison d’une adresse erronée, veuillez corriger d’urgence » —, la formulation, le ton et la structure du lien semblaient sortis du même moule.
Le résultat ? L’e-mail officiel était pourtant authentique.
Troy s’est rendu sur le site officiel de FedEx sans y trouver la moindre explication concernant les taxes douanières. En appelant le service client, le serveur vocal interactif a tourné en boucle, lui recommandant le numéro qu’il venait d’appeler. Trois jours plus tard, un message est arrivé dans sa boîte de réception : le texte précisait que le colis était retenu pour des frais de douane australiens perçus par FedEx pour le compte du gouvernement, le montant correspondait et le lien restait bpoint.com.au.
Figure : Corps de l’e-mail officiel de FedEx, au texte quasi identique à du phishing. Source : troyhunt.com
L’e-mail contenait une pièce jointe PDF : la facture complète de l’imprimante 3D avec le numéro de commande, le prix et le détail de la livraison. Des escrocs n’auraient jamais pu avoir accès à ces éléments. Les 87 % d’internautes s’étaient trompés : ce SMS « extrêmement suspect » provenait bel et bien de FedEx.
Pourquoi les messages officiels en arrivent-ils là ?
Analysons d’abord l’aspect technique. Le champ d’expéditeur des SMS et des e-mails n’a jamais été conçu pour être vérifié à l’origine. Voir « FedEx » s’afficher ne garantit absolument pas l’origine du message — une faille présente depuis la création du courrier électronique. Plus tard, l’industrie a mis en place SPF et DKIM, permettant aux propriétaires de domaines de déclarer les serveurs autorisés et d’en demander la vérification par le destinataire.
Si ces deux protocoles résolvent de nombreux problèmes, ils souffrent d’une limite majeure : plus ils fonctionnent bien, plus ils sont invisibles pour l’utilisateur. Une personne ordinaire ne voit que le nom de l’expéditeur, l’objet et la mise en page. Les résultats de validation SPF et DKIM sont enfouis dans les en-têtes. La sensibilisation à la cybersécurité recommande de « vérifier l’adresse de l’expéditeur », alors qu’il s’agit du paramètre le plus simple à falsifier.
Examinons ensuite l’aspect organisationnel. Sur Hacker News, une hypothèse très crédible a été soulevée : le siège de FedEx interdit probablement à ses filiales d’utiliser le domaine principal fedex.com pour le recouvrement de taxes locales. La collecte a donc été sous-traitée à un prestataire de paiement australien, BPoint (filiale de la Commonwealth Bank). Résultat : le lien de paiement s’appuie sur un domaine inconnu, sans rapport avec FedEx, adoptant l’apparence parfaite d’un site de hameçonnage.
Au sein des grandes entreprises, les départements travaillent en vase clos. Le marketing exige du taux de conversion, les opérations exigent du recouvrement et l’équipe sécurité exige de la confiance. Les utilisateurs de HN qualifient ce phénomène de « Shadow IT » : une équipe métier déploie son propre système de notification pour respecter un calendrier, et lorsqu’elle réalise qu’il aurait fallu passer par le domaine officiel de l’entreprise, le budget est déjà consommé.
N’oublions pas les contraintes du marketing : l’urgence fait vendre. Des termes comme « Urgent », « Dernier avis » ou « Agissez immédiatement » enregistrent les meilleurs taux d’ouverture. Les services commerciaux n’abandonneront pas des méthodes efficaces depuis des décennies simplement pour éviter de ressembler à des piratages. Les efforts des équipes de sécurité sont ainsi balayés par les campagnes marketing.
Quelle est la plus grande ironie dans cette affaire ?
À l’ère de l’intelligence artificielle, où les e-mails de phishing générés par IA deviennent de plus en plus difficiles à déceler, FedEx a réussi à imiter à la perfection les pirates. Comme l’a résumé Troy Hunt, FedEx a semblé dire aux escrocs : « Poussez-vous, regardez comment on fait », en réussissant le sans-faute d’être totalement indifférenciable d’une tentative de hameçonnage.
La discussion montre qu’il ne s’agit pas d’un cas isolé. Microsoft, PayPal, les services fiscaux et les compagnies d’assurance fournissent involontairement des tutoriels gratuits aux pirates. Deux ans plus tard, les SMS de FedEx n’ont pas changé et les utilisateurs continuent de publier sur Hacker News des captures de leurs dernières « notifications douanières ».
La sensibilisation au hameçonnage demeure essentielle, mais elle se heurte à des entreprises prêtes à sacrifier leur crédibilité au profit de leurs métriques. Tant que les e-mails officiels ne ressembleront pas à des e-mails officiels, la formation à la sécurité n’aura pas de base solide. D’ici là, face à un SMS annonçant un colis bloqué, la seule règle efficace reste inchangée : ne cliquez pas sur le lien, allez directement vérifier sur le site officiel par vous-même.
Liens de référence :
- Troy Hunt: Thanks FedEx, This Is Why We Keep Getting Phished
- Discussion sur HN (item?id=49175192)
