VBSpam Q3 2026 : l’authentification des e-mails ne suffit plus face au phishing

Un e-mail qui passe les contrôles d’authentification n’est pas nécessairement sûr. Le test comparatif VBSpam du troisième trimestre 2026 de Virus Bulletin met en lumière des campagnes de phishing capables d’utiliser une infrastructure d’envoi apparemment légitime, puis de déplacer l’étape malveillante vers une navigation web à plusieurs niveaux. Le test a porté sur 103 969 e-mails, dont 103 380 spams, pendant 16 jours selon un plan de test AMTSO. 13

L’authentification valide l’envoi, pas l’innocuité du message

SPF, DKIM et DMARC servent à vérifier certains éléments du chemin d’envoi et de l’alignement d’un domaine. En revanche, ils ne prouvent ni que le contenu du message est inoffensif, ni qu’un lien est sûr, ni que la page affichée après plusieurs redirections est légitime.

C’est précisément le mécanisme exploité dans les campagnes décrites : les attaquants s’appuient sur une infrastructure authentifiée ou digne de confiance en apparence, puis ne révèlent la fraude qu’après des vérifications effectuées dans le navigateur — selon l’heure, la localisation ou le profil apparent du visiteur. 35

Trois techniques de phishing relevées

Un faux impayé envoyé via Amazon SES

Une campagne en allemand utilisait le prétexte d’un paiement en retard. Elle aurait été expédiée via Amazon SES depuis un domaine aligné DKIM. Sans pièce jointe, le message HTML intégrait du balisage leurre, du texte caché, une iframe de taille nulle et du JavaScript obfusqué. 35

Le parcours lié analysait le navigateur et le fuseau horaire, envoyait une requête POST dissimulée, puis redirigeait les visiteurs répondant à certains critères vers OpenSea. Ce scénario a été associé à une fraude dissimulée autour des cryptomonnaies ou des NFT, difficile à identifier par une simple lecture de l’e-mail ou de son URL initiale. 35

De faux renouvellements McAfee et TotalAV

Une autre campagne, en néerlandais, usurpait les marques McAfee et TotalAV. Elle alertait sur la présence de « 631 virus dangereux » et proposait un renouvellement à prix réduit. L’attaque reposait sur de l’ingénierie sociale en HTML, sans pièce jointe malveillante classique. 35

Son efficacité tenait à une destination variable : selon le moment, l’emplacement ou le profil supposé de la victime, le lien pouvait aboutir à une page différente. Un scanner automatisé pouvait donc recevoir une page bénigne, une erreur ou un autre parcours de redirection que celui présenté à la cible. L’objectif rapporté était une fraude à l’abonnement. 35

Une usurpation de BCR S.A. autour du consentement PSD2

Un message en roumain imitait BCR S.A. et affirmait qu’un consentement PSD2 devait être renouvelé. La destination était masquée au moyen d’une adresse IPv6 mappée, une technique susceptible de compliquer l’analyse des URL et le travail des outils de détection. 3

Le thème d’un renouvellement bancaire prétendument obligatoire peut pousser le destinataire à agir vite dans un contexte qui lui semble familier, ce qui le rend adapté au vol d’identifiants. 3

Pourquoi les contrôles statiques sont mis à l’épreuve

Ces exemples montrent que la logique du phishing se déplace après la réception du message. L’expéditeur peut être correctement authentifié et le premier lien peut paraître peu révélateur. Le comportement décisif survient ensuite dans le navigateur :

• le HTML et le JavaScript brouillent la structure initiale du message ;
• les chaînes de redirection éloignent l’URL livrée de la destination finale ;
• le navigateur, le fuseau horaire, la localisation et le timing peuvent être utilisés pour distinguer une cible d’un système automatisé ;
• les réponses conditionnelles peuvent cacher le contenu le plus dangereux aux sandbox et aux vérifications de réputation les plus simples. 35

Il ne s’agit donc pas d’abandonner l’authentification des e-mails. Elle reste utile, mais elle doit être considérée comme un signal parmi d’autres : contenu du message, réputation de l’expéditeur, comportement du lien et risque lié à la destination finale. 35

Les priorités de défense qui se dégagent

Pour mieux traiter ce type de menace, l’analyse doit couvrir l’ensemble du parcours :

1. Normaliser les URL obfusquées afin de décoder et de canoniser les formats inhabituels avant les contrôles de réputation ou de politique.
2. Suivre toute la chaîne de redirection, en évaluant chaque étape et non le seul lien présent dans l’e-mail.
3. Observer le comportement côté navigateur, notamment les redirections conditionnelles, l’empreinte du navigateur et les requêtes dissimulées.
4. Replacer SPF, DKIM et DMARC dans leur contexte : ils soutiennent une décision de confiance, mais ne doivent pas l’emporter sur des signaux malveillants liés au contenu ou à la destination.
5. Mesurer les faux positifs en même temps que la détection, car bloquer des e-mails légitimes constitue aussi un risque opérationnel. 35

Des écarts importants entre les produits testés

Les résultats composites rapportés indiquent que les meilleures solutions ont atteint une détection globale très élevée, mais que les performances ne sont pas homogènes. Net at Work NoSpamProxy a obtenu un score final de 99,995 sans faux positif ; Bitdefender GravityZone Premium a atteint 99,994 ; et SEPPmail.cloudfilter 99,985. Rspamd a été rapporté à 62,5 %. 35

Ces chiffres correspondent à ce test comparatif précis et ne constituent pas une garantie universelle pour tous les environnements. Ils illustrent néanmoins un point opérationnel clair : la détection de campagnes mêlant expéditeurs authentifiés, URL masquées et parcours web conditionnels nécessite plusieurs couches d’analyse, plutôt qu’un contrôle isolé. 135

À retenir

Le test VBSpam Q3 2026 décrit un modèle de phishing dans lequel l’e-mail peut paraître acceptable au moment de sa livraison, tandis que la fraude n’apparaît qu’une fois certaines conditions réunies dans le navigateur de la victime. L’authentification de l’expéditeur reste indispensable, mais la décision de sécurité doit aller jusqu’à la destination finale et à l’expérience web réellement présentée à l’utilisateur. 35