Backscatter : des messages d'erreur pour des emails que vous n'avez pas envoyés (que faire)

Ce que ça veut dire

Vous recevez de nombreux messages « Undelivered Mail Returned to Sender », « Delivery Status Notification (Failure) » ou « Undeliverable » pour des emails que vous n'avez jamais écrits. C'est ce qu'on appelle le backscatter.

Voici comment cela se produit : un spammeur envoie du spam à des milliers d'adresses et indique votre adresse comme expéditeur. Certains serveurs destinataires acceptent d'abord le spam, découvrent ensuite que le destinataire n'existe pas, et envoient un message d'erreur à l'expéditeur inscrit dans le message, c'est-à-dire vous. Vous recevez les messages d'erreur, pas le spam.

Le backscatter est pénible, mais il ne signifie généralement pas que votre compte a été piraté. Il faut tout de même le vérifier en premier.

Pourquoi cela arrive

• L'adresse d'expéditeur en SMTP est facile à falsifier. Sans SPF, DKIM et DMARC appliqués, n'importe quel serveur peut prétendre envoyer pour votre domaine. L'usurpation en général est traitée dans de faux emails envoyés avec votre domaine.
• Des serveurs destinataires mal configurés acceptent tous les messages et renvoient une erreur plus tard, au lieu de refuser les destinataires invalides pendant la conversation SMTP.
• Une adresse fourre-tout (catch-all) sur votre domaine reçoit les messages d'erreur envoyés à des adresses aléatoires (xk3h@yourdomain.com) inventées par les spammeurs.

Comment vérifier

Backscatter ou compte piraté ?

Ouvrez un message d'erreur et regardez le message d'origine joint ou cité en bas. Lisez ses en-têtes Received :

• Si la première ligne Received montre une IP et un serveur qui ne sont pas les vôtres (pays inconnu, connexion domestique) et qu'il n'y a pas de signature DKIM valide pour votre domaine, c'est du backscatter.
• Si le message est vraiment parti de votre fournisseur ou de votre serveur mail (noms d'hôte de votre fournisseur, votre identifiant dans les en-têtes, copies dans votre dossier Envoyés), votre compte ou votre site est peut-être compromis. Suivez plutôt compte email piraté qui envoie du spam.

Consultez aussi les journaux d'envoi ou le suivi des messages de votre fournisseur.

Vérifiez votre authentification

Analysez votre domaine avec le scanner de domaine : avez-vous un enregistrement SPF qui se termine par -all ou ~all, et un enregistrement DMARC ? Envoyez un test depuis votre vraie boîte à l'adresse unique affichée sur la page d'accueil de Delivmail pour confirmer que vos vrais emails passent le SPF, le DKIM et le DMARC. Vérifiez aussi l'IP de votre propre serveur sur les listes noires publiques : si votre propre serveur renvoie des erreurs sur du spam, il peut être listé comme source de backscatter.

Comment corriger

Vous ne pouvez pas empêcher les spammeurs d'écrire votre adresse, mais vous pouvez réduire le nombre de serveurs qui acceptent les faux emails, et filtrer les messages d'erreur.

1. Publiez une authentification stricte. Un enregistrement SPF correct, le DKIM sur tous vos vrais emails, et une politique DMARC que vous faites passer à quarantine puis à reject (voir passer le DMARC en quarantine ou reject sans risque). Les serveurs qui vérifient ces enregistrements refusent les faux emails pendant la connexion : aucun message d'erreur ne vous est donc envoyé.
2. Supprimez le catch-all si vous n'en avez pas besoin, pour que les messages d'erreur envoyés à des adresses inventées soient refusés.
3. Filtrez les messages d'erreur. Créez une règle qui déplace dans un dossier les messages d'erreur dont le message d'origine n'a pas été envoyé par vous. Dans Microsoft 365, le réglage du filtre anti-spam avancé pour le backscatter NDR peut les marquer comme spam :

   Set-HostedContentFilterPolicy -Identity Default -MarkAsSpamNdrBackscatter On

4. Sur votre propre serveur, envisagez le BATV (Bounce Address Tag Validation) : votre serveur ajoute une étiquette signée à l'expéditeur d'enveloppe de vos vrais emails, et refuse les messages d'erreur qui ne portent pas d'étiquette valide.
5. Ne créez pas vous-même de backscatter. Configurez votre serveur pour refuser les destinataires inconnus pendant la session SMTP au lieu de les accepter puis de renvoyer une erreur. Dans Postfix, gardez local_recipient_maps ou virtual_mailbox_maps complets et utilisez relay_recipient_maps pour les domaines relayés, et faites en sorte que votre filtre anti-spam refuse au lieu de renvoyer une erreur.

Les vagues s'arrêtent généralement au bout de quelques jours, quand la campagne de spam se termine.

Vérifiez que c'est corrigé

Après tout changement DNS, attendez la propagation et revérifiez vos enregistrements avec le scanner de domaine. Lancez un nouveau test Delivmail pour confirmer que vos propres emails passent toujours le DMARC. Surveillez ensuite le nombre de messages d'erreur dans les jours qui suivent : il doit baisser. Si des messages d'erreur montrent des emails réellement envoyés depuis vos systèmes, traitez-le comme un incident de sécurité.