Pourquoi je reçois de faux e-mails de la police ?
ChatGPT
Claude
Gemini
Perplexity
GrokL’essentiel
Les faux e-mails de police ou d’Interpol sont de l’hameçonnage fondé sur la peur et l’urgence. Les repérer, ne rien ouvrir et les empêcher d’atteindre vos équipes.
Un faux e-mail des forces de l’ordre est un hameçonnage (phishing) qui usurpe une police ou une agence d’enquête pour vous pousser à ouvrir une pièce jointe ou un lien malveillant. S’il affirme que votre entreprise fait l’objet d’une enquête, c’est presque sûrement une arnaque. Les vraies agences n’ouvrent pas d’enquête en envoyant un fichier de « preuves » non sollicité à examiner. Une campagne de juillet 2026 fait exactement cela à grande échelle, en usurpant Interpol pour livrer un ransomware à de petites entreprises.
En bref
Points clés
- Les vraies forces de l’ordre n’envoient pas d’e-mails non sollicités avec des fichiers de « preuves » ou des liens d’archives en ligne à ouvrir.
- Une campagne décrite par l’Antispam Lab de Bitdefender en juillet 2026 usurpe la « Cybercrime Investigation Unit » d’Interpol pour diffuser un ransomware.
- Le leurre mène à une archive sur Proton Drive qui cache un exécutable déguisé en vidéo ; l’ouvrir installe le ransomware.
- Les cibles sont de petites entreprises aux États-Unis, en Europe, en Asie et au Moyen-Orient, du droit aux médias, de la pharmacie à l’agriculture.
- Ces e-mails jouent sur la peur et l’autorité, sans percer vos défenses. La charge malveillante ne s’exécute que si vous l’ouvrez.
- DMARC empêche d’usurper votre domaine, mais pas une arnaque envoyée d’un domaine contrôlé par l’attaquant ; la vigilance des utilisateurs comble ce vide.
Qu’est-ce que la campagne du faux Interpol ?
Début juillet 2026, l’Antispam Lab de Bitdefender a signalé une campagne d’hameçonnage qui usurpe les forces de l’ordre pour diffuser un ransomware. Les e-mails disent venir d’une « Cybercrime Investigation Unit » d’Interpol et affirment que l’entreprise est liée à une activité suspecte sous enquête.
Le message pousse le lecteur à examiner les prétendues preuves. Au lieu d’une pièce jointe facile à analyser, l’e-mail renvoie vers un fichier sur Proton Drive, un service cloud légitime détourné pour échapper aux contrôles de réputation des liens. L’archive semble contenir une vidéo de l’« enquête », mais le fichier est un exécutable déguisé en vidéo. Le lancer installe un ransomware sur la machine.
Selon Bitdefender, la campagne a touché de petites entreprises aux États-Unis, en Europe, en Asie et au Moyen-Orient, dans le droit, les médias, la tech, la pharmacie, l’alimentation et l’agriculture. Point notable : aucune demande de rançon fixe. Les victimes doivent prendre contact via un canal de chat Tox, et les attaquants négocient une rançon adaptée à l’organisation dès qu’elle se manifeste.
Pourquoi je reçois ces e-mails ?
Vous les recevez parce que votre adresse figure sur une liste de cibles, pas parce que votre entreprise a un vrai problème. C’est une campagne d’hameçonnage de masse. Les attaquants envoient le même leurre d’autorité à des milliers de petites entreprises et attendent qu’une fraction panique et ouvre le fichier.
Usurper les forces de l’ordre est voulu. Un message semblant venir d’Interpol ou de « la police » suscite peur et urgence, exactement ce dont l’ingénierie sociale a besoin pour court-circuiter le jugement. C’est la même psychologie que la compromission d’e-mail professionnel et les autres attaques par usurpation : emprunter une autorité de confiance, ajouter un délai ou une menace, et beaucoup agissent avant de vérifier.
Les petites entreprises sont choisies exprès. Elles gèrent données sensibles et argent, mais ont rarement une équipe sécurité pour vérifier un e-mail alarmant, ce qui les rend plus rentables que les grandes entreprises au filtrage et à la réponse à incident matures.
Comment repérer un faux e-mail de police ?
Traitez tout e-mail non sollicité d’« enquête » ou de « preuves » comme une arnaque sauf preuve contraire. Signaux concrets de cette campagne et d’autres :
- Il demande d’ouvrir un fichier ou un lien pour voir des « preuves ». Un enquêteur n’envoie pas les pièces d’un dossier à un suspect par e-mail. Un lien d’archive en ligne (Proton Drive, hébergeur de fichiers, drive partagé) est un indice fort.
- Il mêle autorité et urgence. Une unité nommée (« Cybercrime Investigation Unit »), un numéro de dossier ou une menace de poursuites visent à vous faire agir vite.
- La pièce jointe n’est pas ce qu’elle prétend. Une archive qui « contient une vidéo » mais livre un
.exe,.scrou autre exécutable est un malware. Une vraie vidéo n’a pas besoin d’être exécutée. - Le canal de contact est anormal. Négocier ou répondre via un outil de chat anonyme comme Tox n’est la méthode d’aucune agence légitime.
- Le domaine d’envoi ne correspond pas à l’agence. Vérifiez l’adresse From et le domaine réels, pas seulement le nom affiché. S’il échoue à l’authentification ou imite un domaine, méfiez-vous. Notre guide pour repérer les faux e-mails explique comment lire les en-têtes.
DMARC et l’authentification peuvent-ils les bloquer ?
En partie, et il faut être précis sur ce que fait ou non l’authentification. DMARC, avec SPF et DKIM, empêche d’envoyer des messages semblant venir d’un domaine que vous possédez et protégez. Si des criminels usurpaient le domaine de votre entreprise pour joindre vos équipes, une politique DMARC appliquée (p=quarantine ou p=reject) dirait aux serveurs de réception de refuser ou d’isoler ces messages.
L’authentification ne peut pas bloquer un message envoyé d’un domaine que l’attaquant contrôle ou d’un domaine sosie qu’il a enregistré. Usurper « Interpol » n’exige pas d’usurper votre domaine. Il suffit d’un expéditeur plausible et d’un objet effrayant. L’authentification est donc nécessaire mais pas suffisante : elle évite que votre marque serve de vecteur, tandis que la vigilance et les contrôles des postes arrêtent ce qui vient d’ailleurs.
Deux mesures aident vraiment. D’abord, amenez votre domaine à l’application de DMARC pour que votre marque ne devienne pas le prochain leurre, un vrai risque puisque ces criminels usurpent des organisations de confiance. Ensuite, surveillez les domaines sosies de votre entreprise, car l’usurpation d’e-mail et les domaines cousins permettent souvent d’atteindre les clients d’une cible.
Que faire si vous en recevez ou en ouvrez un ?
Si vous avez seulement reçu l’e-mail : n’ouvrez pas la pièce jointe, ne cliquez pas sur le lien, signalez-le à votre contact IT ou sécurité et supprimez-le. Signaler compte : un exemple signalé alerte toute l’équipe.
Si quelqu’un a déjà ouvert le fichier : c’est un incident en cours. Déconnectez la machine du réseau pour limiter le ransomware, conservez le message et le fichier pour l’enquête, réinitialisez les identifiants exposés et lancez votre processus ou prestataire de réponse à incident. Ne payez pas et ne négociez pas via le chat de l’attaquant ; contactez les vraies forces de l’ordre par les canaux officiels.
Pour les MSP et les équipes IT, l’agent DMARC de Palisade gère l’authentification (il examine chaque expéditeur, rédige les corrections et propose chaque étape vers l’application de DMARC pour accord), pour que votre marque ne serve pas d’arme dans ces campagnes, pendant que vous misez sur la formation et la défense des postes, qui arrêtent ce que l’authentification ne peut pas. Un score de sécurité e-mail gratuit montre quels domaines clients restent usurpables aujourd’hui.
Pour une mise en œuvre de ces contrôles propre à un fournisseur, voyez Pourquoi je reçois de faux e-mails de confirmation de paiement ?.
À lire aussi
Questions des lecteurs
Questions fréquentes
Interpol m’envoie-t-il vraiment des e-mails ?
Non. Interpol et les polices nationales n’ouvrent pas d’enquête en envoyant à une entreprise un fichier de preuves non sollicité à examiner. Tout e-mail de ce type est une arnaque.
Pourquoi le lien mène-t-il à Proton Drive ou un autre vrai service ?
L’attaquant héberge la charge sur un service cloud légitime pour que le lien passe les contrôles de réputation de base. Un service réel ne rend pas le fichier sûr.
La pièce jointe ressemble à une vidéo : puis-je l’ouvrir ?
Non. Dans cette campagne, la « vidéo » est un exécutable déguisé. L’ouvrir installe un ransomware. Une vraie vidéo n’a jamais à être lancée comme un programme.
Mon antispam les arrêtera-t-il toujours ?
Pas de façon fiable. Les leurres partent de domaines de l’attaquant et abusent d’hébergeurs fiables : ils peuvent passer les filtres. Le scepticisme humain est le dernier rempart.
Avoir DMARC me protège-t-il de cela ?
DMARC empêche d’usurper votre propre domaine, ce qui protège votre marque et vos clients. Il n’arrête pas une arnaque envoyée d’un domaine appartenant à l’attaquant. Pour cela, il faut vigilance et contrôles des postes.
Rédigé par
Samuel ChenardCEO et cofondateur, Palisade
Samuel Chenard est CEO et cofondateur de Palisade, logiciel DMARC agentique pour équipes IT et MSP, d’un domaine à des milliers.
Lire Samuel →