Arnaque au formulaire de contact : cet email vient vraiment du site que vous connaissez

Vous avez appris à vérifier l’adresse de l’expéditeur avant de cliquer. C’est le bon réflexe, celui qu’on répète partout, et il vous a sans doute déjà évité une mauvaise surprise. Sauf qu’il existe une technique d’arnaque où ce réflexe ne sert strictement à rien : le mail vient vraiment du site que vous connaissez. Pas d’une imitation, pas d’un domaine ressemblant. Du vrai site, avec sa vraie adresse.

La méthode porte un nom peu glamour, le détournement de formulaire de contact, et les analystes de KnowBe4 la suivent depuis le 11 septembre 2025. Le principe tient en une phrase : l’escroc ne falsifie rien du tout, il fait envoyer son message par une entreprise légitime, à travers le formulaire « Contactez-nous » de son propre site. Je vous montre le mécanisme, pourquoi votre antispam n’y voit que du feu, et le seul réflexe qui tient encore debout face à ça.

Ce que vous recevez dans votre boîte

Le message arrive d’un cabinet, d’une banque, d’une clinique ou d’un assureur. Souvent un accusé de réception automatique du genre « nous avons bien reçu votre demande, notre équipe vous répondra sous 48 heures ». Sauf que la demande recopiée en dessous n’est pas la vôtre. C’est une alerte de fraude qui vous annonce qu’un virement vient de partir de votre compte, avec un numéro de téléphone pour contester en urgence.

Dans le cas décortiqué par KnowBe4, le nom affiché de l’expéditeur était celui de PayPal, et le message annonçait un transfert de 724,46 dollars. Le montant y figurait deux fois. Ce n’est pas de la maladresse, c’est le levier : un chiffre précis, répété, qui donne au message son air de notification bancaire authentique et vous pousse à réagir avant de réfléchir. La marque usurpée et la somme changent d’une vague à l’autre, le squelette reste le même.

Le détail qui compte vraiment : il n’y a aucun lien à cliquer. La charge utile de l’attaque, c’est le numéro de téléphone. On appelle ça le callback phishing (hameçonnage par rappel téléphonique) : le message ne cherche pas à vous faire ouvrir une page piégée, il cherche à vous faire décrocher votre téléphone. Au bout du fil, un faux conseiller vous guide vers un virement « de sécurisation », l’installation d’un logiciel de prise en main à distance, ou la lecture d’un code reçu par SMS.

Comment un site parfaitement honnête finit par vous écrire

Premier temps, l’escroc ouvre un compte Microsoft 365 gratuit, du type onmicrosoft.com, et lui donne comme nom d’affichage celui d’une marque connue. Ce genre de compte offre une capacité d’envoi bien supérieure à une boîte mail gratuite ordinaire, ce qui permet de viser des milliers de personnes d’un coup.

Deuxième temps, il configure une règle de transfert automatique sur ce compte. Tout message qui y entre est aussitôt réexpédié vers une liste de diffusion de victimes, constituée à l’avance à partir de fichiers d’adresses achetés ou récupérés après des fuites de données.

Et le tour est joué : il remplit le formulaire « Contactez-nous » d’une entreprise avec son adresse frauduleuse et son message piégé, en glissant le numéro de téléphone dans plusieurs champs pour être sûr qu’il ressorte. Le site fait ce pour quoi il est programmé, il envoie son accusé de réception, en recopiant le message reçu. Ce mail authentique atterrit dans la boîte de l’escroc, la règle de transfert le catapulte vers ses milliers de cibles, et l’entreprise a expédié l’arnaque sans jamais le savoir.

Soyons clairs sur ce point, parce qu’il change tout : le site n’a pas été piraté. Aucun mot de passe volé, aucune faille exploitée, aucun serveur compromis. Il a servi de miroir, en faisant exactement son travail. Les secteurs les plus touchés sont d’ailleurs choisis pour ça : juridique, banque, santé, assurance. Ce sont ceux dont un courriel inspire assez confiance pour qu’on le lise jusqu’au bout.

Pourquoi votre antispam laisse passer

Un filtre antispam classique s’appuie sur trois signatures techniques, SPF, DKIM et DMARC, qui vérifient qu’un message vient bien du domaine qu’il affiche. Un faux mail de banque échoue en général sur au moins une des trois, et se retrouve dans les indésirables. Ici, les trois sont parfaitement valides, puisque le message part réellement du serveur de l’entreprise annoncée. Du point de vue de votre messagerie, c’est un mail légitime, et c’en est un.

La deuxième raison est plus embêtante encore. Les protections modernes traquent surtout les liens malveillants : elles les analysent, les comparent à des listes noires, les réécrivent parfois pour les inspecter au moment du clic. Un message qui ne contient qu’un numéro de téléphone ne leur donne rien à mordre. C’est la limite que j’avais déjà pointée à propos du filtre anti-arnaques du gouvernement : un dispositif qui bloque des adresses frauduleuses reste sans effet quand l’arnaque n’en contient aucune.

Ajoutez à ça la réputation du domaine expéditeur, excellente puisqu’il s’agit d’une vraie société qui envoie du courrier légitime depuis des années, et vous obtenez un message qui traverse toutes les couches de filtrage sans déclencher la moindre alerte. Vérifier l’expéditeur, dans ce cas précis, ne vous apprend rien : il est authentique.

Le numéro de téléphone, angle mort des filtres

Les chiffres publiés par KnowBe4 fin 2025 donnent la mesure du phénomène. Le vishing (hameçonnage par téléphone) a bondi de 449 % par rapport à 2024, et dans 5,5 % des mails d’hameçonnage, un numéro de téléphone constitue désormais le seul élément malveillant du message. Un mail piégé sur dix-huit ne donne donc plus rien à analyser aux filtres. Ajoutez que 77 % des numéros de rappel aboutissent sur une voix générée par une IA, et vous voyez où la partie se joue vraiment : au téléphone, pas dans votre boîte mail.

Le seul réflexe qui protège encore

Puisque l’expéditeur ne prouve plus rien, il faut déplacer la vérification ailleurs. La règle tient en une ligne : ne jamais partir du message. Ni son lien, ni son numéro, ni son bouton, ni sa pièce jointe. Le canal qui vous annonce un problème n’est jamais celui qui doit le résoudre.

Concrètement, un numéro de téléphone reçu par mail ne s’appelle pas. Si un message vous parle d’un virement suspect, vous prenez le numéro au dos de votre carte bancaire, ou celui de votre espace client que vous ouvrez vous-même. Si un message parle de votre compte sur un service en ligne, vous tapez l’adresse du service à la main dans le navigateur et vous allez voir. Ça prend trente secondes, et ça rend l’arnaque inopérante quel que soit le montage technique derrière.

Sachez à quoi vous attendre si vous appelez quand même. La personne au bout du fil sera calme, professionnelle, elle connaîtra peut-être votre nom, et elle vous mettra sous pression avec une courtoisie parfaite. C’est le même registre que le faux support Apple qui appelle les victimes de vol d’iPhone ou que le faux conseiller de la Caisse des Dépôts, et la voix peut désormais être clonée par une IA. Ne comptez pas sur votre intuition pour faire le tri pendant l’appel : elle arrive trop tard.

Petit conseil pour finir sur ce point : quand vous identifiez un de ces messages, prévenez l’entreprise dont le formulaire a servi de relais, par un canal que vous choisissez vous-même. La plupart ignorent totalement qu’elles expédient des arnaques, et un signalement suffit souvent à faire couper l’accusé de réception automatique. Vous pouvez aussi transférer le message à Signal Spam et le signaler sur cybermalveillance.gouv.fr, qui alimentent tous deux les dispositifs de blocage.

Vous avez déjà appelé : les gestes à faire dans l’heure

Ça arrive, et ça n’a rien de honteux : le montage est fabriqué pour ça. Ce qui compte maintenant, c’est la vitesse. Appelez votre banque avec le numéro au dos de votre carte, faites opposition et demandez le blocage de toute opération récente que vous ne reconnaissez pas. Si vous avez dicté un code de validation au téléphone, changez le mot de passe du compte concerné depuis un autre appareil, et pas depuis celui que vous aviez sous les yeux pendant l’appel.

Si le faux conseiller vous a fait installer un logiciel de prise en main à distance, coupez d’abord la connexion réseau de la machine, désinstallez le programme, puis reprenez vos mots de passe un par un depuis un appareil sain. Déposez plainte ensuite : c’est le point de départ de toute contestation auprès de la banque, et le récépissé vous sera réclamé. Signalez enfin l’incident sur cybermalveillance.gouv.fr, qui vous orientera vers un prestataire si votre ordinateur a été touché.

Si vous gérez un site, votre formulaire est peut-être le prochain relais

La famille d’abus est plus ancienne qu’on ne le croit, et elle fonctionne aussi dans l’autre sens. Microsoft avait documenté en 2021 des campagnes qui remplissaient les formulaires de contact d’entreprises avec de fausses menaces juridiques, du type « vous utilisez nos images sans autorisation, cliquez pour voir les preuves ». Le lien menait au maliciel bancaire IcedID. Les scripts des attaquants savaient contourner les protections anti-robots des formulaires, et le message atterrissait directement dans la boîte du service concerné, là où quelqu’un est payé pour ouvrir tout ce qui arrive.

Que vous teniez un site vitrine, une boutique ou un blog, quatre réglages réduisent nettement le risque de servir de relais ou d’y laisser des plumes :

• Ne recopiez pas le message de l’internaute dans l’accusé de réception. Un texte fixe du type « votre demande est enregistrée » casse toute l’attaque, parce qu’il n’y a plus rien à faire relayer.
• Activez une protection anti-robots sur le formulaire, et vérifiez qu’elle fonctionne vraiment en tentant un envoi automatisé.
• Limitez le nombre d’envois par adresse IP et par tranche horaire, pour qu’un remplissage en série devienne coûteux.
• Passez en revue les règles de transfert automatique de vos boîtes professionnelles, sur Microsoft 365 comme sur Google Workspace. Une redirection que personne n’a créée volontairement est un signal de compromission.

Ce que je ferais à votre place

Trois choses à faire dès maintenant. Cessez de considérer l’expéditeur comme une preuve : il peut être authentique et le message frauduleux quand même. N’appelez jamais un numéro communiqué dans un mail, prenez le vôtre sur un support que vous possédez déjà. Et si vous administrez un site, allez regarder ce que renvoie votre formulaire de contact aujourd’hui même.

Si je ne devais garder qu’un principe de tout ça, ce serait celui-là : la sécurité d’un message ne se juge plus à son emballage, mais à ce qu’il vous demande de faire. Un courrier qui vous presse d’appeler, de payer ou d’installer quelque chose mérite votre méfiance même s’il arrive d’un domaine irréprochable. Pour le reste des réflexes de base, ma méthode complète contre le hameçonnage reste valable, et les signaux d’alerte d’une arnaque par SMS se transposent presque tels quels au courrier électronique.