De faux e-mails peuvent arriver sans alerte dans Proton Mail sur le web
Les personnes qui lisent leurs courriels sur le web avec Proton Mail peuvent trouver un message suspect sans avertissement visible. Les détails de l’expéditeur et de la réponse aident à repérer la tromperie.
- 1Concerné si
- Les personnes qui utilisent Proton Mail sur le web.
- 2À faire d’abord
- Comparer les adresses complètes « Expéditeur » et « Répondre » avant de répondre.Voir les 2 étapes
- 3Le risque
- Une réponse peut partir vers une adresse contrôlée par un fraudeur.
- 4Comment on le sait
- Un contrôle SPF échoué peut ne déclencher aucun bandeau d’alerte. frandroid.com
Concerné ?
Les personnes qui consultent Proton Mail sur le web peuvent recevoir un faux message sans bandeau d’avertissement.
Le piège peut jouer sur une adresse qui ressemble visuellement à une autre ou sur une fausse adresse placée dans le nom affiché. Le champ « Répondre » peut ensuite orienter la réponse vers une adresse différente. Le nom visible du contact ne suffit donc pas à identifier l’expéditeur.
Comment on le sait
Un cas documenté montre un message frauduleux sans bandeau d’alerte malgré l’échec d’un contrôle de l’expéditeur.
La faille a été signalée le 13 février 2025 et reproduite en septembre 2026, rapporte Frandroid le 2 octobre 2026. Si le domaine de l’expéditeur réel ne publie pas de règle DMARC, l’interface web n’affiche pas de bandeau alors que le contrôle SPF échoue.
Ce qu’on ne sait pas : Le nombre de victimes et la date d’une éventuelle correction restent inconnus.
Le risque
Une réponse ou des informations sensibles peuvent être envoyées au fraudeur.
L’absence de bandeau ne prouve pas qu’un courriel est authentique. Ce mécanisme peut faciliter l’hameçonnage, mais la source ne documente ni perte d’argent ni compte compromis à cause de cette faille.
Quoi faire maintenant
Avant de répondre à un message inattendu, ouvrez ses détails et vérifiez les adresses complètes.
- Comparez les champs « Expéditeur » et « Répondre » ; examinez chaque caractère du domaine.
- En cas de doute, ne transmettez pas d’information sensible. Contactez directement l’organisme prétendument expéditeur par un canal que vous connaissez, comme le recommande Cybermalveillance.gouv.fr.