Il y a quelques années, quand je travaillais dans une grande entreprise française du web, nous recevions de temps en temps des e-mails frauduleux d’une sophistication surprenante. Des pirates avaient compromis l’un de nos fournisseurs, et leurs messages ressemblaient presque trait pour trait à de vraies factures. Personnellement, je ne suis pas tombé dans le panneau, mais certains de mes collègues ont eu moins de chance. Un outil capable de vérifier ces e-mails en quelques instants nous aurait épargné des heures de stress et, dans certains cas, des pertes financières bien réelles.
Changement de décor, côté vie personnelle. Mes frères, mes sœurs et moi sommes devenus le « support informatique » attitré de nos parents, une situation dans laquelle beaucoup d’entre vous se reconnaîtront, j’en suis sûr. Dès qu’un e-mail suspect atterrit dans leur boîte, ils nous le transfèrent en espérant que nous saurons dire s’il est sans danger ou s’il s’agit d’une tentative d’hameçonnage déguisée. Parfois, c’est facile à repérer (fautes de grammaire grossières, adresses d’expéditeur douteuses), mais d’autres fois, difficile de trancher.
Et même les gens à l’aise avec la technique hésitent parfois devant un e-mail juste un peu trop parfait. Vous voyez le genre, celui où vous fixez l’adresse de l’expéditeur en espérant un signe net qu’il s’agit d’un faux.
Il existe aujourd’hui des outils qui s’en approchent. Bitdefender Scamio et Norton Genie vous disent tous les deux si un message a l’air d’une arnaque, gratuitement, sans installer la moindre suite logicielle. Mes parents n’ont utilisé ni l’un ni l’autre, et je ne crois pas qu’ils le feront un jour, parce que tous deux vous demandent d’ouvrir un site web qu’il faut d’abord trouver et auquel il faut faire confiance, puis de coller le message dans une zone de discussion. Ce que mes parents font en réalité, à chaque fois, c’est transférer l’e-mail à l’un de leurs enfants.
Cette habitude, c’est le produit. Pas un endroit de plus où se rendre, mais une adresse où transférer, comme aujourd’hui, avec la réponse qui revient dans la boîte mail qu’ils avaient déjà sous les yeux. Ce n’est pas la détection qui manque. C’est le geste.
Marché et opportunités
Le besoin est réel et il ne se réduit pas. L’hameçonnage figure dans le haut du classement de chaque rapport national sur la cybercriminalité, année après année, et les pertes ne cessent de grimper. Les petites entreprises et les particuliers en portent la plus grosse part, parce qu’ils n’ont pas d’équipe sécurité. Au-delà du préjudice financier, il y a les dégâts émotionnels : la frustration, la méfiance, et parfois même une réticence à utiliser l’e-mail tout court.
Deux publics paient pour ça, pour des raisons opposées. Les familles paient pour cesser d’être un poids : le parent qui transfère chaque message douteux à un enfant, et l’enfant qui répond entre deux réunions. Les petites entreprises paient parce qu’une seule facture convaincante coûte plus cher qu’une année d’abonnement, et parce que personne chez elles n’a pour métier d’aller regarder. Tout le reste (les grandes entreprises, les autres langues, les autres continents) est un problème pour plus tard, qui n’existera que si les deux premiers fonctionnent.
Fonctionnalités clés
- Transférez et oubliez. Vous envoyez le message suspect à une adresse dédiée (par exemple check@threatshield.example) et la réponse revient dans la même boîte, en quelques secondes. Pas d’extension, aucune autorisation d’accès à votre messagerie, rien à installer.
- Un score lisible par n’importe qui. Vert, orange, rouge, puis la raison en une phrase. Le détail en dessous (réputation de l’expéditeur, analyse des liens, anomalies de mise en forme) est là pour qui le veut et invisible pour qui n’en veut pas.
- Une mémoire partagée. Un message déjà signalé par quelqu’un d’autre est reconnu instantanément. C’est le principe des voisins vigilants, appliqué aux boîtes mail, et ça s’améliore à mesure que les gens s’en servent.
- Ce qui est conservé, et ce qui ne l’est pas. Le corps d’un e-mail transféré est jeté une fois analysé. Ce qui reste, c’est la signature de l’arnaque : les schémas d’expéditeur, la structure des liens, la forme de la fraude. Toute la promesse de confidentialité tient dans cette distinction, et mieux vaut l’énoncer clairement que la planquer derrière un badge « nous ne stockons rien » qui serait mensonger.
- Votre propre historique. Un relevé simple de ce que vous avez signalé et de ce que c’était, pour que la personne qui reçoit sans arrêt des arnaques à la livraison de colis finisse par les repérer sans avoir besoin de demander.
Plus tard, si la chose fonctionne : des modules natifs pour Gmail et Outlook, le SMS, et un baromètre mensuel des menaces construit à partir des signalements.
Monétisation
Deux pistes, et elles suffisent. Le freemium pour les particuliers : une poignée de vérifications par mois gratuitement, parce que la personne qui en a le plus besoin est justement celle qui ne paiera jamais pour un logiciel de sécurité, puis un petit abonnement pour les vérifications illimitées et l’historique personnel. Un forfait à prix fixe pour les petites entreprises, vendu par société et non par utilisateur, parce que l’acheteur, c’est un bureau de six personnes qui veut simplement faire vérifier la facture avant de la payer.
Ce que je ne ferais pas, en revanche, c’est vendre la base de données des menaces. C’était dans mes premières notes, sous forme d’abonnement pour les sociétés de sécurité et les instituts de recherche, et cela contredit la promesse faite deux sections plus haut. Vous ne pouvez pas dire à quelqu’un que son e-mail est jeté, puis vendre ce que vous en avez appris. Choisissez.
Les abus : ce qu’une adresse ouverte attire
Une adresse à laquelle n’importe qui peut transférer n’importe quoi est, par construction, une adresse qui recevra des choses qu’elle ne devrait pas recevoir. Des gens transféreront des e-mails contenant les résultats médicaux d’un tiers, le salaire d’un collègue, le scan d’un passeport. Sans malveillance, simplement parce que le message était suspect et qu’il contenait aussi ça.
La suppression du corps du message n’est donc pas une fonctionnalité, c’est le mur porteur. Analyser, extraire la signature, jeter le reste, et ne jamais construire le bouton qui permettrait à un administrateur de lire un message stocké, parce qu’un bouton qui existe est un bouton qui finit par servir. Par-dessus, un quota d’envois par expéditeur, pour empêcher qui que ce soit d’utiliser le service comme un scanner de masse gratuit au profit de sa propre campagne de spam.
Prochaines étapes : comment je la construirais
Le point de départ le plus simple, une adresse de transfert, figure déjà dans le pitch. Les utilisateurs envoient un message suspect à une adresse dédiée (disons check@threatshield.example), un analyseur en extrait les en-têtes, les liens et la réputation de l’expéditeur, et une réponse revient avec un score. Aucune autorisation sur la boîte mail, pas d’extension, rien à installer. Voilà le MVP, et on peut le construire avec les outils qui existent aujourd’hui.
Les obstacles se situent plus loin. Un score de risque en quelques secondes ne vaut que ce que vaut le moteur d’analyse derrière lui, et faire descendre les faux positifs assez bas pour qu’on lui fasse confiance, c’est ça, le vrai travail, pas la tuyauterie. La réputation des expéditeurs et l’analyse des URL s’appuieraient probablement sur des flux de renseignement sur les menaces déjà existants plutôt que sur une base bâtie de zéro.
L’intégration poussée avec Gmail et Outlook n’est pas un module qu’on ajoute en un week-end. Elle suppose de développer avec les API de modules complémentaires de Google et de Microsoft, puis de passer leur validation, ce qui est faisable mais lent. Je livrerais d’abord la version par transfert et je traiterais l’intégration native comme une étape ultérieure, pas comme une fonctionnalité de lancement.
Une boîte mail plus sûre, plus intelligente
Je reviens toujours à la même image : mes parents qui me transfèrent un e-mail et attendent de savoir s’il est sans danger.
Un outil qui répond à cette question en quelques secondes, pour n’importe qui, retirerait un vrai poids des épaules de beaucoup de gens, des proches âgés aux professionnels débordés qui jettent un œil à leur téléphone entre deux réunions.
Je ne crois pas que cela réinvente la cybersécurité. Cela met simplement une vérification utile à la portée de gens qui n’ont pas de service informatique, et c’est une raison suffisante pour construire cet outil.
Le concept est encore brut, et bon nombre des parties difficiles (un score juste, des faux positifs maintenus au plus bas, les intégrations chez les fournisseurs) ne sont pas résolues. Mais la demande est évidente, et aucun des obstacles ne semble rédhibitoire.
Si vous êtes développeur, entrepreneur, ou quelqu’un qui est lui aussi devenu le support informatique de sa famille, et que vous décidez de construire ça, je serai ravi de vous aider à y réfléchir ou de le relire. Si vous la construisez, dites-le-moi. J’aimerais beaucoup la suivre ici.
