Signaler un hameçonnage dans Gmail : étapes et suites

Que se passe-t-il après le signalement ?

La page d’aide de Google place une note importante avant la procédure : si une personne déplace à la main un e-mail dans Spam, Google reçoit une copie de l’e-mail et des pièces jointes et peut les analyser pour protéger les utilisateurs du spam et des abus (aide Google sur l’hameçonnage). Voyez-y une information sur le traitement par Google, pas une promesse sur l’effet d’un signalement.

La page ne promet pas que Google retirera le message de toutes les boîtes, bloquera l’expéditeur partout, préviendra votre employeur, ouvrira un dossier suivi, ni qu’il jugera l’intention criminelle. Un signalement réussi signifie que l’action Gmail a abouti. Le confinement et l’enquête de l’organisation sont des résultats distincts.

Par exemple, prenons un message dont voici le résumé fictif :

From: Payroll Access <reset@payroll-review.invalid>
Subject: Ticket 630184 expires in 27 minutes
Requested action: Scan a QR code and enter Microsoft 365 credentials
Recipient: finance-team@example.com

Le signaler dans Gmail couvre le canal du fournisseur de messagerie. L’organisation peut encore avoir besoin du ticket 630184, des en-têtes originaux, de la destination du QR code, des journaux de connexion et savoir si quelqu’un a saisi ses identifiants. L’exemple utilise des identifiants .invalid et .example et ne représente pas une vraie campagne.

Spam ou hameçonnage : que signaler ?

Utilisez Signaler comme hameçonnage si le message usurpe une personne ou une organisation, cherche à obtenir des informations ou pousse à une action nuisible. Utilisez Signaler comme spam pour un e-mail de masse indésirable ou abusif sans la même fausse alerte de sécurité. Le guide spam ou hameçonnage explique la frontière.

L’aide Google sur le spam indique que le signalement aide Gmail à repérer les messages similaires et qu’un message marqué comme spam va dans Spam. Elle décrit aussi un désabonnement pour les abonnements éligibles (Google : Report spam in Gmail). N’utilisez pas le désabonnement d’un e-mail clairement trompeur juste pour voir.

Un message peut être à la fois de masse et d’hameçonnage. Priorisez le signalement de sécurité en cas de fraude, vol d’identifiants, malware, manipulation de paiement ou usurpation. Le libellé décrit le risque que vous remontez, pas un constat technique à prouver avant de signaler.

Quelles preuves conserver ?

Suivez la politique de l’organisation, car une boîte peut contenir des données personnelles, financières, clients ou employés. Preuves utiles : message original, adresses d’expéditeur et de réponse, objet, heure de livraison, destination visible, noms des pièces jointes, en-têtes bruts et bref récit de toute interaction. Ne diffusez pas le message ou la pièce jointe aux collègues qui n’en ont pas besoin.

Les en-têtes bruts aident à analyser le domaine et le chemin. Mais la section 1.2 de la RFC 8601 explique qu’un champ Authentication-Results n’a de sens qu’au sein du périmètre de confiance du destinataire. Un expéditeur peut insérer un faux champ similaire (RFC 8601, section 1.2). C’est pourquoi le guide pourquoi l’hameçonnage peut réussir SPF et DKIM ne voit pas un succès comme preuve de bonne foi.

Ne gardez pas des captures d’écran comme seule preuve si le message original existe encore. Elles peuvent omettre adresses, destinations, routage et pièces jointes. Elles montrent ce que l’utilisateur a vu, mais servent un autre but que le message original et les en-têtes ajoutés par le destinataire.

Quand le signalement Gmail ne couvre-t-il pas tout ?

Un signalement Gmail ne fait rien non plus pour le domaine usurpé. Si le message a falsifié votre domaine, la correction se fait côté envoi, et le score de sécurité e-mail de Palisade montre ce que vos enregistrements publiés autorisent. Il lit le DNS public, donc ne peut expliquer pourquoi Gmail a jugé un message suspect.

Un signalement Gmail ne suffit pas si quelqu’un a saisi un mot de passe, approuvé une demande MFA, partagé un code à usage unique, installé un logiciel, ouvert une pièce jointe nuisible, modifié les coordonnées bancaires d’un fournisseur, viré de l’argent ou utilisé un appareil pro. Contactez l’équipe sécurité, IT, finance ou fraude autorisée par le canal d’urgence prévu. Changez vos identifiants via un service de confiance si demandé, et gardez les journaux et preuves de l’appareil.

La procédure ne s’applique pas telle quelle avec un client de messagerie tiers, une interface mobile aux commandes différentes, une quarantaine administrateur ou un produit de sécurité qui reçoit les signalements via un complément. Utilisez la voie prise en charge par l’organisation. Ne supposez pas qu’un menu similaire transmet les mêmes preuves.

En cas de doute sur un message, consultez l’exemple d’e-mail d’hameçonnage sans interagir avec le contenu suspect. Nul besoin d’une preuve digne d’un tribunal pour utiliser un canal interne sûr.

Corriger un signalement erroné

L’aide actuelle de Google sur ordinateur dit d’ouvrir le message, de choisir Plus à côté de Répondre, puis Signaler comme non-hameçonnage (aide Google Gmail). Partez de l’état actuel du message dans la boîte. Si un dossier a aussi été ouvert dans l’organisation, mettez-le à jour à part, pour que l’équipe sécurité ne prenne pas la correction Gmail pour une clôture silencieuse.

N’annulez pas un signalement correct juste parce que le message a réussi l’authentification. Un attaquant peut authentifier ses propres domaines, et des comptes légitimes compromis peuvent envoyer des messages nuisibles. Ne corrigez le classement qu’après vérification du message et de son contexte.