Le spoofing est une technique de cyberattaque qui consiste à usurper une identité numérique, adresse email, numéro de téléphone ou adresse IP, pour tromper la victime sur l’origine d’un message ou d’une connexion. Il existe plusieurs formes (email, téléphonique, IP, ARP), distinctes par leur mécanisme mais unies par le même principe : la falsification d’une information d’identification. Le spoofing se distingue du phishing : il porte sur l’identité de l’émetteur, tandis que le phishing vise à soutirer des informations sensibles, parfois en utilisant le spoofing comme vecteur.
Le spoofing est une forme d’usurpation d’identité numérique qui touche aussi bien les particuliers que les organisations. Comprendre son fonctionnement et ses différentes formes permet d’identifier les signaux d’alerte, en particulier dans un contexte où les données mobiles et usurpation d’identité constituent un vecteur d’attaque croissant.
- Définition du spoofing et types principaux
- Comment fonctionne le spoofing en pratique
- Spoofing et phishing : deux techniques distinctes
- Comment détecter et se protéger du spoofing
Définition du spoofing et types principaux
Le spoofing désigne toute technique visant à falsifier une information d’identification numérique pour se faire passer pour une entité légitime. Le terme anglais signifie littéralement « mystification » ou « tromperie ». L’usurpation peut porter sur différentes couches techniques : l’adresse d’un expéditeur email, le numéro affiché lors d’un appel, ou encore l’adresse réseau d’un équipement.
Cinq types de spoofing sont particulièrement répandus, chacun ciblant une couche technique différente.
Les cinq formes principales
L’email spoofing repose sur la falsification du champ expéditeur (champ « From: ») d’un email. La boîte mail usurpée n’est pas nécessairement compromise : il suffit de modifier l’en-tête du message pour afficher n’importe quelle adresse. C’est l’une des formes les plus fréquentes, utilisée dans de nombreuses campagnes d’arnaque.
Le spoofing téléphonique (caller ID spoofing) permet d’afficher un numéro arbitraire lors d’un appel, y compris un numéro officiel reconnu, comme celui d’une banque ou d’un service public. L’appelant peut ainsi paraître légitime sans que la victime puisse s’en douter en regardant son écran.
L’IP spoofing consiste à falsifier l’adresse IP source dans les en-têtes de paquets réseau. Il est notamment utilisé pour masquer l’origine d’une attaque ou contourner des contrôles d’accès basés sur l’adresse IP.
L’ARP spoofing associe frauduleusement une adresse MAC à une adresse IP sur un réseau local, ce qui permet à un attaquant de s’interposer entre deux équipements et de mener une attaque de type Man-in-the-Middle.
Le GPS spoofing consiste à émettre de faux signaux GPS pour altérer la position perçue d’un appareil. Moins courant pour le grand public, il touche principalement les systèmes de navigation embarqués et certains usages logistiques.
Comment fonctionne le spoofing en pratique
Le mécanisme varie selon le type de spoofing, mais le principe reste constant : exploiter une faille dans un protocole de communication pour substituer une information d’identification.
Email spoofing : falsifier l’expéditeur sans toucher à la boîte mail
Un email est composé de plusieurs champs d’en-tête. Le champ « From: », celui que le destinataire voit dans son logiciel de messagerie, peut être rempli librement par l’expéditeur. Un attaquant peut y inscrire l’adresse d’une banque, d’un service public ou d’un collègue, sans jamais accéder au compte correspondant. Le destinataire reçoit alors un message qui semble provenir d’une source de confiance. Les protocoles SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail) ont été conçus pour détecter et bloquer ces falsifications, mais leur déploiement n’est pas universel.
Caller ID spoofing : afficher n’importe quel numéro
Le réseau téléphonique traditionnel transmet le numéro de l’appelant via un champ modifiable dans les signaux de communication. Des services en ligne permettent de paramétrer librement ce numéro avant de passer un appel. Un escroc peut ainsi appeler depuis un numéro étranger en faisant apparaître le numéro de votre banque sur votre écran. La victime, confiante, décroche et peut communiquer des informations sensibles.
ARP spoofing et attaque Man-in-the-Middle
Sur un réseau local (Wi-Fi d’hôtel, réseau d’entreprise non sécurisé), les équipements s’identifient grâce au protocole ARP, qui associe adresses IP et adresses MAC. En envoyant de fausses réponses ARP, un attaquant peut convaincre les autres machines du réseau que son propre équipement est le routeur légitime. Tout le trafic transite alors par lui, ce qui permet d’intercepter des communications non chiffrées. C’est le principe de l’attaque Man-in-the-Middle.
Spoofing et phishing : deux techniques distinctes
Les deux termes sont souvent confondus, mais ils désignent des réalités distinctes. Le spoofing est une technique de falsification d’identité : il modifie ce que la victime voit comme origine d’une communication. Le phishing (hameçonnage) est une tentative d’extorsion d’informations sensibles, identifiants, coordonnées bancaires, mots de passe. Selon la définition du phishing par la CNIL, il s’agit d’une escroquerie visant à obtenir des données personnelles en se faisant passer pour un tiers de confiance.
Le spoofing est fréquemment utilisé comme vecteur du phishing : un email de phishing prend souvent l’apparence d’un message provenant d’une institution connue, grâce à l’email spoofing. Mais le spoofing peut exister sans intention d’extorquer des données (par exemple, pour masquer l’origine d’une attaque réseau), et le phishing peut s’appuyer sur d’autres moyens que le spoofing (faux sites web, SMS frauduleux).
Deux formes hybrides méritent d’être mentionnées : le vishing (voice phishing) combine appel téléphonique et caller ID spoofing pour extorquer des informations par la voix ; le smishing utilise les SMS comme vecteur, parfois avec un numéro d’expéditeur falsifié. Ces attaques illustrent comment spoofing et phishing peuvent se combiner sans se confondre.
Les conséquences d’une attaque réussie peuvent inclure une violation de données personnelles aux effets durables, tant pour les individus que pour les organisations. Le spoofing s’inscrit dans le périmètre plus large de la cybersécurité au sens large, qui englobe l’ensemble des pratiques et dispositifs visant à protéger les systèmes d’information.
Comment détecter et se protéger du spoofing
Plusieurs signaux permettent de repérer une tentative de spoofing avant d’y répondre.
Signaux d’alerte à repérer
Pour les emails, l’adresse réelle de l’expéditeur (visible en dépliant les en-têtes du message) diffère souvent du nom affiché. Un message créant une urgence excessive, demandant des informations confidentielles ou comportant un lien vers une page non officielle constitue un signal fort. Pour les appels téléphoniques, un numéro affiché comme officiel qui demande des codes, mots de passe ou virements immédiats doit systématiquement éveiller la méfiance. Sur un réseau local, une latence inhabituellement élevée ou des messages ARP en double peuvent indiquer une attaque en cours.
Mesures de protection
Du côté des administrateurs email, le déploiement des enregistrements SPF et DKIM sur les domaines utilisés constitue la première ligne de défense contre l’email spoofing. Ces mécanismes permettent aux serveurs destinataires de vérifier que l’expéditeur est bien autorisé à envoyer des messages au nom du domaine concerné.
Pour les particuliers, la règle principale face à un appel suspect est de ne jamais rappeler sur le numéro affiché et d’utiliser les coordonnées officielles de l’organisme concerné. La notion de numéro masqué et caller ID spoofing éclaire la facilité avec laquelle un numéro affiché peut être falsifié, ce qui justifie cette précaution.
L’authentification multifacteur (MFA) est recommandée par l’ANSSI comme mesure de protection face aux usurpations d’identité numérique, selon ses recommandations sur l’authentification multifacteur. Même si un attaquant parvient à usurper une identité, le second facteur bloque l’accès aux comptes protégés.
Sur les réseaux non fiables (Wi-Fi public, réseau d’hôtel), l’usage de connexions chiffrées limite l’exposition à l’ARP spoofing. Des applications de messagerie comme Telegram et messagerie sécurisée proposent des communications chiffrées de bout en bout, moins vulnérables aux interceptions sur réseau local. Pour tout incident avéré, la plateforme nationale Cybermalveillance.gouv.fr oriente les victimes de cyberattaques vers les ressources d’assistance adaptées.
| Type de spoofing | Mécanisme simplifié | Signal d’alerte | Prévention principale |
|---|---|---|---|
| Email spoofing | Falsification du champ expéditeur (From:) d’un email | Adresse d’expédition réelle différente du nom affiché | Vérifier les enregistrements SPF/DKIM du domaine expéditeur |
| Spoofing téléphonique | Modification du numéro affiché (caller ID) lors d’un appel | Numéro officiel connu appelant à une action urgente | Ne jamais rappeler sur le numéro affiché, utiliser les coordonnées officielles |
| IP spoofing | Falsification de l’adresse IP source dans les paquets réseau | Trafic réseau inhabituel, connexions depuis des sources incohérentes | Filtrage de paquets entrants (ingress filtering) côté réseau |
| ARP spoofing | Association frauduleuse d’une adresse MAC à une adresse IP sur un réseau local | Latence réseau anormale, messages ARP en double sur le réseau | Utiliser des connexions chiffrées (HTTPS, VPN) sur les réseaux non fiables |
| GPS spoofing | Émission de faux signaux GPS pour altérer la position perçue d’un appareil | Positions incohérentes, sauts soudains de localisation | Croiser plusieurs sources de positionnement (Wi-Fi, réseau cellulaire) |
Le spoofing reste une menace persistante car il exploite la confiance accordée aux canaux de communication habituels, en particulier l’email et le téléphone. Pour renforcer votre défense face à ces attaques, comprendre les principes fondamentaux de la cybersécurité vous permettra d’adopter une stratégie globale de protection.
Questions fréquentes
Quelle est la différence entre spoofing et phishing ?
Le spoofing désigne la falsification d’une identité numérique (adresse email, numéro de téléphone, adresse IP) pour se faire passer pour une entité légitime. Le phishing est une tentative d’extorsion d’informations sensibles, mots de passe, coordonnées bancaires, qui peut utiliser le spoofing comme vecteur, mais en est conceptuellement distinct. Un attaquant peut pratiquer le spoofing sans chercher à soutirer des données, et le phishing peut s’appuyer sur d’autres moyens que l’usurpation d’identité technique.
Le spoofing est-il illégal en France ?
L’usurpation d’identité est encadrée par le droit français, notamment par les dispositions du Code pénal relatives aux atteintes à la personnalité. En pratique, utiliser le spoofing pour tromper une personne ou commettre une fraude est passible de poursuites. La qualification juridique dépend toutefois de l’intention et du préjudice causé : le simple fait technique de modifier un champ d’en-tête n’est pas en lui-même une infraction, mais son utilisation à des fins malveillantes l’est.
Comment reconnaître un email ou un appel en spoofing ?
Pour un email, l’indice principal est l’écart entre le nom affiché et l’adresse réelle d’expédition, visible en affichant les en-têtes complets du message. Un ton d’urgence, une demande d’informations confidentielles ou un lien vers un domaine non officiel renforcent la suspicion. Pour un appel téléphonique, un numéro officiel qui exige une action immédiate, virement, communication d’un code, installation d’un logiciel, constitue un signal fort, car les organismes légitimes ne procèdent jamais ainsi par téléphone.
