sujet Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR dans SFR Cybersécurité et Contrôle Parental

PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Romulus72 — Tue, 07 Jan 2020 21:28:51 GMT

Bonjour à tous,

Juste pour vous signaler un cas de PHISHING qui me parait inhabituel et inquiétant.

Comme l'an passé, je commence à recevoir une quantité progressive (jusqu'à 200 par jour, la dernière fois) de fauses offres alléchantes/cadeaux/remises/etc., mais pour en bénéficier, il m'est demandé de suivre un lien afin de fournir des informations personnelles. Bref : du phishing.

Une particularité de ces envois, c'est qu'il sont NOMINATIFS (j'ai fait l'erreur de donner mon nom et mon adresse mail à un pseudo acheteur sur Le Bon Coin). Heureusement, cette arrivée soudaine de proposition similaires mentionnant mon nom en objet (ou en expéditeur) ne risque pas de me tromper, mais c'est agaçant.

D'autre part, j'arrive facilement à orienter ces courrier vers le dossier des Indésirables, car les adresses des expéditeurs piratés varient peu.

En revanche, une autre particularité est qu'une des boîtes piratées pour ces envois massifs est MAILER-DAEMON@sfr.fr !

> Non, ces mails ne sont pas des mails refusés qui me reviennent : l'expéditeur des mails refusés est habituellement "Mail Delivery System", pas "Felecetations Pierre Dupond"

> Et, non, ce n'est pas quelqu'un qui envoie des mails avec ma boîte : ces mail provenant de MAILER-DAEMON@sfr.fr sont des publicités comme les autres (provenant d'autres adresse piratées), non l'habituel un courrier de refus avec pièces jointes. C'est donc bien l'adresse MAILER-DAEMON de sfr.fr qui a été piratée !

Je précise que mon code d'accès est complexe et que je l'ai changé très récemment.

J'ai tenté d'envoyer un de ces mails à emailsuspect@sfr.com, mais ça ne passe pas, même si je n'envoie que les entêtes.

Bref, ça commence à faire beaucoup. Je suis sérieusement déçu des prestations de SFR, mais si quelqu'un a une solution pour empêcher, éviter ou limiter cette situation, elle est la bienvenue !

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Ryry — Tue, 07 Jan 2020 22:55:37 GMT

Hello @Romulus72

Oui du phishing, et touchant SFR, ça existe et il y en a plein (ton message sur le forum n'est pas le seul actuellement d'ailleurs).

> C'est donc bien l'adresse MAILER-DAEMON de sfr.fr qui a été piratée !

Bien que peu probable, ce n'est pas impossible c'est vrai, mais rien dans tes observations ne le démontre sans le moindre doute.

Il est en effet relativement facile, voir ICI, (pour ne pas dire trivial avec certains serveurs SMTP d'expédition de mail, à fortiori quand tu utilises ton propre serveur SMTP, ce qu'une équipe de piratage organisé n'aurait pas de mal à configurer) de forger un faux mail dont l'expéditeur est ni plus ni moins que MAILER-DAEMON@sfr.fr sans qu'aucun autre nom de boîte mail n'apparaisse et laisse donc croire que c'est bien vrai.

Sauf que, dans mon scénario simpliste, une analyse plus approfondie (des multiples champs de l'en-tête indiquant le trajet du mail de serveur en serveur) montrerait qu'il a emprunté un chemin différent de celui passant habituellement par les serveurs d'expédition officiels de SFR.

Bref, en l'état, il faudrait des éléments supplémentaires pour démontrer ça.

à+

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Romulus72 — Wed, 08 Jan 2020 09:24:58 GMT

Bonjour Ryry,

Merci pour ta réponse. Si l'adresse de l'expéditeur peut être simulée, alors, peut-être que le MAILER-DAEMON de SFR n'est pas en cause.

Voilà, ci-dessous, les entêtes du mail en question (j'ai effacé mon adresse email, mon nom et une autre adresse email d'un destinataire qui me paraissait être celle d'un particulier).

Si toi ou quelqu'un d'autre peut m'apporter des infos pour mieux comprendre la situation, je lui en serai reconnaissant.

Return-Path : <>

Received : from msfrf2608.sfr.fr (msfrf2608 [10.18.203.22])
by msfrb0302 (Cyrus v2.3.16) with LMTPA;
Tue, 07 Jan 2020 10:48:32 +0100
X-Sieve : CMU Sieve 2.3
X-Bcc : [ mon adresse email ]

Received : from filter.sfr.fr (localhost [69.94.135.244])
by msfrf2608.sfr.fr (SMTP Server) with ESMTP id 670861C0B781D
for <nce000000000000000013820203@back03-mail02-01.sfrmc.priv.atos.fr>; Tue, 7 Jan 2020 10:46:14 +0100 (CET)

Received : from before.evidence.fr (unknown [69.94.135.244])
by msfrf2608.sfr.fr (SMTP Server) with ESMTP id 396031C0AF832
for <[ mon adresse email ]>; Tue, 7 Jan 2020 10:46:14 +0100 (CET)

Received : from before.evidence.fr (unknown [69.94.135.244])
by msfrf2608.sfr.fr (SMTP Server) with ESMTP
for <[ mon adresse email ]>; Tue, 7 Jan 2020 10:46:02 +0100 (CET)

Received : from msfrf2637.sfr.fr (msfrf2623 [10.18.203.37])
by msfrb1003 (Cyrus v2.3.16) with LMTPA;
Thu, 17 Oct 2019 10:55:53 +0200

Received : from filter.sfr.fr (localhost [127.0.0.1])
by msfrf2623.sfr.fr (SMTP Server) with ESMTP id 2AD2E1C0BBB02
for <nce000000000000000013661040@back10-mail01-02.sfrmc.priv.atos.fr>; Thu, 17 Oct 2019 10:55:53 +0200 (CEST)

Received : by msfrf2623.sfr.fr (SMTP Server) id 0FC731C0BBC2B:
Thu, 17 Oct 2019 10:46:01 +0200 (CEST)
Date : Thu, 17 Oct 2019 10:46:01 +0200 (CEST)

From : Felecetations [ mon nom ] ............<MAILER-DAEMON@sfr.fr>
Subject : VOTRE COLIS FR3428632-19 EST EN ROUTE
To : [ l'adresse email d'un particulier ]
Auto-Submitted : auto-replied
MIME-Version : 1.0
Message-Id : <20191017084601.OFC731COB8C28@msfrf2623.sfr.fr>
Content-Type : text/html; charset="ISO-8859-1"
Content-Transfer-Encoding : 8bit
X-me-spamwebmail : SPAM-FROM

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Ryry — Wed, 08 Jan 2020 10:00:27 GMT

Hello,

Là tu cumules plusieurs en-têtes de mails au cours de mois, mais chacun d'entre eux est anormalement court.

Tu as juste repris quelques lignes des en-têtes ?
Ton mailer ne te montre pas tout ? (moi par exemple, sous Thunderbird, je crois bien activer l'option "Montrer l'en-tête complet" pour voir une bonne douzaine de ligne d'en-tête par mail, et souvent avec 3-4 champs received montrant le cheminement du mail avant d'arriver dans ma boite...

Là c'est un peu court, trop court même...

à+

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Romulus72 — Wed, 08 Jan 2020 11:14:15 GMT

Merci pour ta réponse rapide.

Je ne sais pas ce que tu vois, dans mon commentaire, mais je fournis 7 champs Received et une trentaine de lignes en tout.

Ce sont néanmoins les seules entêtes auxquelles ma boîte mail SFR me donne accès par la fonction "Affichez les entêtes" et intitulées "Entêtes du mail".

Bref, les entêtes fournies ne concernent qu'un seul mail (sinon, je l'aurai précisé... mon but n'est pas d'embrouiller).

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Romulus72 — Fri, 10 Jan 2020 07:51:09 GMT

Allo ?... Il y a quelqu'un ?

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

JEYJEY2912 — Sat, 25 Jan 2020 08:46:49 GMT

Bonjour. J ai en effet le même problème que Romulus72.Je reçois une dizaine de phishing par jour provenant d'un adresse mailer Daemon de SFR.La répétition quotidienne devient énervante.Mon téléphone ne permettant pas de créer une règle sur les indésirables, existe t il une solution ?

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Ryry — Sat, 25 Jan 2020 20:50:47 GMT

Hello @Romulus72

> Bref, les entêtes fournies ne concernent qu'un seul mail (sinon, je l'aurai précisé... mon but n'est pas d'embrouiller).

Alors je ne m'y retrouve pas bien car

on voit nettement au début une date du 7 janvier 2020
et dans le milieu une date du 17 octobre 2019

c'est pourquoi je me suis demandé s'il s'agissait bien d'infos d'un même mail.

Si oui, il a donc voyagé plus de 2 mois, et autant dire qu'il ne provient probablement pas directement de SFR ça c'est sûr alors...

à+

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Ryry — Sat, 25 Jan 2020 20:57:05 GMT

Hello @JEYJEY2912

> Je reçois une dizaine de phishing par jour provenant d'un adresse mailer Daemon de SFR.La répétition quotidienne devient énervante.Mon téléphone ne permettant pas de créer une règle sur les indésirables, existe t il une solution ?

As-tu la possibilité de créer ce genre de filtre en amont, dans l'interface webmail de ta messagerie ?

Ainsi ils seraient déviés à la source de ta messagerie et n'arriveraient pas sur ton téléphone...

à+

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Romulus72 — Sun, 26 Jan 2020 07:24:21 GMT

Merci pour ta réponse.

Je m'étais également interrogé sur les dates, mais je manque de connaissances pour analyser des entêtes.

À ce jour, les mails de MAILER-DAEMON@sfr. ont cessé (intervention de SFR ?), mais je continue évidemment à recevoir le même phishing d'autres adresses, dont "mailer-daemon@amazon.com".

À part changer d'adresse mail, je ne vois pas trop quoi faire.

Bonne journée !

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Ryry — Sun, 26 Jan 2020 13:14:38 GMT

Hello,

> À part changer d'adresse mail, je ne vois pas trop quoi faire.

il est fort probable que, petit à petit, les mêmes désagréments arrivent dans la nouvelle boite mail.

Donc oui il n'y a pas grand chose de faisable.

Le Phishing, comme le SPAM, sont la plaie du courriel.

Mais ils restent inhérents au "laxisme" de l'authentifiation précise de l'expéditeur dans ce système mail datant de nombreuses décennies.

Des propositions ont souvent été faites pour "durcir" son protocole et rendraient ces pratiques beaucoup moins faciles pour les tricheurs, mais un peu comme pour le courier postal, il a été préféré en rester au service de base :

comme pour un courrier postal, rien n'empêche à un publicitaire de vous inonder de pub
comme pour un courrier postal, rien n'empêche un faussaire de vous écrire en prétendant être SFR, ou le président de la république...

=> l'idée c'est que, comme pour le courrier postal, ce soit le contenu du message (et non le porteur) qui fournissent des éléments permettant d'authentifier la crédibilité de l'expéditeur, s'il le faut...

à+

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Romulus72 — Sun, 26 Jan 2020 15:09:43 GMT

Bonjour Ryry,

Merci beaucoup pour ces éléments de compréhension de la situation.

Pour info, j'étais parvenu à préserver cette vieille adresse de toute invasion en l'utilisant presque exclusivement dans le cadre personnel (j'en ai une autre pour les interactions avec des sites ou entreprises). Pour tout dire, elle date de Neuf Telecom... Comme je l'ai dit plus haut, mon erreur a été de la communiquer à un faux acheteur sur Le Bon Coin.

Bah ! Si ma boîte avait été piratée, ç'aurait été pire. Donc, je pense survivre à l'incident. Mais le laxisme des fournisseurs d'accès est lamentable.

Je te remercie à nouveau d'avoir pris le temps de t'intéresser à mon cas banal et sans espoir.

Bonne journée !

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

cayman1 — Tue, 18 Feb 2020 15:43:34 GMT

Bonjour,

Aprés avoir consuté énormément de" conseils -tuyaux" sur différents forums ....et ,aucune soulution n'avait résolu ce fameux problème à savoir:mailer-daemon@amazon .com!!

Une" illumination" m'est venue et voilà ce que j'ait fait il y a deux jours et, plus rien depuis:

J'ai tout simplement envoyé un courrier vierge avec ma messagerie à l'adresse problème ci-dessus!

Miracle de l'informatique??je n'en sais rien ...mais plus de mails intempestis.

Je pense que cela va faire rire les férus de l'informatique ..mais bon...espérons que cela soit possible pour tous.

En tout cas ,Merci pour tous ceux qui participent à essayer de dépanner les autres .

Bonne chance

@Romulus72 a écrit :
Bonjour à tous,

Juste pour vous signaler un cas de PHISHING qui me parait inhabituel et inquiétant.

Comme l'an passé, je commence à recevoir une quantité progressive (jusqu'à 200 par jour, la dernière fois) de fauses offres alléchantes/cadeaux/remises/etc., mais pour en bénéficier, il m'est demandé de suivre un lien afin de fournir des informations personnelles. Bref : du phishing.

Une particularité de ces envois, c'est qu'il sont NOMINATIFS (j'ai fait l'erreur de donner mon nom et mon adresse mail à un pseudo acheteur sur Le Bon Coin). Heureusement, cette arrivée soudaine de proposition similaires mentionnant mon nom en objet (ou en expéditeur) ne risque pas de me tromper, mais c'est agaçant.
D'autre part, j'arrive facilement à orienter ces courrier vers le dossier des Indésirables, car les adresses des expéditeurs piratés varient peu.

En revanche, une autre particularité est qu'une des boîtes piratées pour ces envois massifs est MAILER-DAEMON@sfr.fr !
> Non, ces mails ne sont pas des mails refusés qui me reviennent : l'expéditeur des mails refusés est habituellement "Mail Delivery System", pas "Felecetations Pierre Dupond"
> Et, non, ce n'est pas quelqu'un qui envoie des mails avec ma boîte : ces mail provenant de MAILER-DAEMON@sfr.fr sont des publicités comme les autres (provenant d'autres adresse piratées), non l'habituel un courrier de refus avec pièces jointes. C'est donc bien l'adresse MAILER-DAEMON de sfr.fr qui a été piratée !
Je précise que mon code d'accès est complexe et que je l'ai changé très récemment.

J'ai tenté d'envoyer un de ces mails à emailsuspect@sfr.com, mais ça ne passe pas, même si je n'envoie que les entêtes.

Bref, ça commence à faire beaucoup. Je suis sérieusement déçu des prestations de SFR, mais si quelqu'un a une solution pour empêcher, éviter ou limiter cette situation, elle est la bienvenue !

va faire rire les férus de l'informatique ..mais bon...espérons que cela soit possible pour tous.

En tout cas ,Merci pour tous ceux qui participe à essayer de dépanner les autres .

Bonne chance

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Romulus72 — Tue, 18 Feb 2020 17:40:33 GMT

Salut,

Pas bête. Je suppose que tu as attiré l'attention d'un admin (?) de chez Amazon sur le fait que leur adresse était utilisée par d'autres (si c'est bien ce qui se passe).

Merci pour le retour !

Re: PHISHING massif et personnalisé + détournement de MAILER-DAEMON SFR

Romulus72 — Tue, 03 Mar 2020 07:44:19 GMT

Voilà. C'est terminé.

Comme l'an dernier, l'attaque dure deux à trois mois et s'arrête complètement.