Suspicion de piratage Fermé

Question

Bonjour,

Je soupçonne un piratage de ma boite mail , que dois-je faire.
En effet dans certains de mes mails, le destinataire les reçois avec le texte complètement transformer.
J'ai changé deux fois d'adresse et de mot de passe, mais ça continue, que dois-je faire et que faire pour que ça s'arrête?
Et comment faire( si c'est possible), pour savoir qui pirate mon adresse mail?
Merci.

Gloops1 · Answer

Bonjour,

Je vois que l'hypothèse de la fuite occasionnelle du mot de passe a déjà été traitée.

Si le mot de passe fuit encore après avoir été changé, il faut se demander par où. Donc déjà, chercher si il n'y a pas de cheval de Troie sur l'ordinateur : il y a des forums spécialisés sur la sécurité informatique, les gens compétents en la matière y passent plus de temps qu'ici.

Je pars bien sûr du principe que l'antivirus a déjà été passé, puisque c'est évident. Essayer un antivirus en ligne, aussi. secuser.com, par exemple.

Pour mémoire on citera aussi les "anti-saletés", adwCleaner, zhpCleaner, zhpDiag, MBAM, bien qu'on s'attende moins, avec ce qu'ils traitent, à une attaque de cet ordre. Mais bon, ça ne mange pas de pain. Ne pas les télécharger de n'importe où, préférer :
https://nicolascoolman.eu
https://toolslib.net/
https://www.malwarebytes.com/
https://www.malekal.com/

Les gens du forum sécurité aborderont au besoin d'autres aspects, comme les rootkits.

Si avec tout ça ça ne donne rien il faudra mettre l'ordinateur à distance et en utiliser un autre quelque temps, de provenance fiable, et voir.

Pas mettre des mots de passe trop faciles à trouver, ça bien sûr j'aurais dû commencer par là, mais je suppose que c'est une idée qu'on a spontanément au bout de plusieurs.

La connexion Internet, aussi, peut être piratée. Est-ce que c'est une liaison filaire, wifi ? Le wifi a dernièrement fait l'actualité en raison de risques de piratage, encore que si c'est ça l'explication l'intéressé a fait vite. Mais ce n'est pas exclu. Une liaison filaire peut aussi être piratée, mais à ce moment-là ça veut dire que c'est par quelqu'un qui n'a pas peur de laisser des traces, c'est assez inquiétant en soi.
Au fait pour le wifi il y a deux sortes de connexions : les hot spots, et les connexions dites "sécurisées", même si il a été signalé dernièrement que l'aspect sécurisé laisse à désirer. Pour ce qui est du hot-spot wifi, les opérateurs préviennent qu'il faut éviter d'envoyer des mots de passe dessus.

Voilà, bon après il y a les confidences sur l'oreiller, mais là je ne peux pas trop m'immiscer.

Ah encore une question à ne pas oublier : "le destinataire" reçoit les messages modifiés. Est-ce que c'est toujours le même ? Si oui ça peut être lui qui est piraté.

Gloops1 · Answer

Il y a un point que je n'ai pas évoqué : les mails sont-ils toujours lus avec le même ordinateur, du même endroit, ou accédés depuis plusieurs endroits, comme à la maison et au bureau ? Dans le dernier cas c'est plus difficile, car on ne sait pas lequel des deux endroits est piraté.

Gluups · Answer

Bonjour,

Je crois que ça sera plus lisible en répondant en dessous, non ? Donc au commentaire n° 11, je précise car si on veut relire dans quelques semaines ça sera loin d'être évident.

Clairement ce n'est pas l'antivirus qui tout seul comme un grand s'est mis à changer des phrases dans les mails. On peut avoir un cheval de Troie, qui est un virus, qui a permis à quelqu'un de l'extérieur d'espionner ce qui était tapé, notamment les mots de passe. Si c'est vraiment ça qui s'est passé, il était de la responsabilité de l'antivirus de détecter le cheval de Troie, étant entendu que ce n'est pas toujours évident -d'où l'intérêt d'en essayer un en ligne, qu'un virus n'aura pas pu neutraliser.

D'ailleurs la phase suivante manque un peu de clarté. Le quelqu'un de l'extérieur a pu modifier des mails en ayant le mot de passe, mais ... Ces mails étaient déjà envoyés, à ce moment-là ? Ou c'était des mails reçus ? Ou des brouillons en instance de départ ?
Parce que si c'est envoyé, le mot de passe ne permettra pas de modifier le mail dans la boîte du destinataire.

Ou alors un virus différent, pas juste un cheval de Troie, qui modifierait le texte en direct ? Il faudrait voir d'après la nature des modifications si c'est plausible.

Dans le dossier des mails envoyés, est-ce qu'on a le texte normal ou modifié ?

Nous ne sommes pas au bout avec ça. D'une part je me rends compte que parmi plusieurs hypothèses j'en ai proposé une incohérente, en oubliant de prendre en compte une partie du circuit, d'autre part ... la recherche demande un méchant boulot, et c'est compréhensible d'avoir une tendance à simplifier.

Il est possible qu'un virus sur le poste au départ ait soit transmis les mots de passe à mesure qu'ils étaient tapés, soit modifié le texte en direct. D'où d'une part l'évidence d'avoir tout de suite demandé une analyse à l'antivirus installé sur la machine, d'autre part l'intérêt aussi d'en demander une à un antivirus en ligne, car aucun antivirus n'est infaillible. D'autant qu'un virus peut modifier un programme installé sur la machine, y compris un antivirus pour l'empêcher de détecter le virus.

Si on admet que le texte a pu être modifié ultérieurement sur la chaîne de transmission, c'est une hypothèse à départager aussi. Donc il faut voir dans le dossier des mails envoyés ce qu'on a comme texte : si c'est un virus qui a modifié le texte en direct, dans le dossier des mais envoyés on aura le texte modifié. Alors que si le texte est modifié ultérieurement, il y a des chances qu'il ne soit pas modifié là. Il n'est pas forcément évident que cette information nous permettra de tirer des conclusions tout de suite, mais c'est quand même une information capitale.

Je vais éviter d’échafauder sur la suite avant d'avoir les résultats de ces deux points :
- que disent les antivirus ?
- qu'y a-t-il dans le dossier des mails envoyés (sur la machine locale, et sur le serveur) ?

Et il est important aussi de nous être bien compris, parlons-nous de mails envoyés ou reçus ?

Gluups · Answer

Ah, donc nous avons des mails qui ont bien été envoyés au serveur comme ils doivent l'être, mais ont été altérés après ça ?

On a bien dit, le dossier Envoyés dans le client de mails sur la machine émettrice, ET le dossier Envoyés sur le serveur, interrogé par webmail ?
J'aime bien quand on fournit des confirmations détaillées, ça évite de reposer les mêmes questions.
Mais à ce stade je vais considérer que oui, on a bien vérifié les deux. Autrement on n'en sort pas.

Oh mais c'est que c'est complètement différent de ce que nous avons le plus envisagé jusque là.

Je serais tenté de demander au fournisseur de mail ce qu'il en pense. Mais plutôt que foncer tête baissée je serais curieux de savoir ce qu'en pensent les intervenants de forums de sécurité.

Il y aura le destinataire, aussi, chez qui il faudra vérifier si un virus ne sèmerait pas sa zone. Peut-être on commencera par là ?

Mais si rien d'autre n'est modifié sur sa machine, c'est vraiment troublant.

On a bien passé la machine émettrice à l'antivirus ? Local et en ligne ?
A priori, sous réserve de ce que j'ai dit ci-dessus, il semble que la modification soit faite après l'envoi, mais dans ce genre de problème on ne se pose pas de questions, on passe sa machine à l'antivirus pour savoir où on en est, et après on cherche ailleurs.

Vraiment être sûr de soi là-dessus car il ne me semble pas avoir lu de confirmation ici à ce propos malgré deux demandes, et ensuite je crois qu'on va passer le relais à un forum de sécurité. Et je ne serais pas étonné qu'il suggère aussi de contacter le destinataire et les intermédiaires. Probablement dans cet ordre, mais il y a des gens qui savent mieux où ils vont que moi là-dessus.

La piste de choisir un autre prestataire de mails risque de revenir sur le tapis. Les gens des forums de sécurité risquent d'être de meilleur conseil à ce stade. Le critère du type de cryptage des mots de passe risque de tenir un niveau élevé dans les critères de choix, j'imagine. Entre autres.