Un mail arrive avec, comme expéditeur, votre propre adresse, ou celle de l'« administrateur » de votre nom de domaine. Cela ne prouve pas que votre boîte a été piratée. L'adresse d'expédition affichée peut être falsifiée : c'est ce qu'on appelle le spoofing. Cybermalveillance.gouv.fr relève dans son bilan 2025 que certaines campagnes s'en servent précisément pour faire croire au destinataire que le message est parti de sa propre boîte.
Le test le plus simple
Ouvrez votre dossier « Messages envoyés ». Si le mail n'y figure pas, il n'a pas été envoyé depuis votre compte. Cybermalveillance.gouv.fr compte parmi les vrais signes de piratage des messages envoyés dont vous n'êtes pas l'auteur, une connexion depuis un appareil inconnu ou des règles de redirection créées à votre insu.
L'exemple reçu le 21 octobre 2026
Ce message est arrivé sur l'adresse de contact de mailarnaque.fr. Il affichait comme nom « mailarnaque.fr » et comme adresse Admin@mailarnaque.fr, c'est-à-dire le domaine du site lui-même. Personne chez mailarnaque.fr ne l'a écrit.
De : "mailarnaque.fr" (Admin@ suivi du domaine du destinataire) Objet : Suspicious mail account sign-in activity
Dear contact, ...
Tout est fait pour que le destinataire croie à une alerte de son propre service informatique : le nom de son domaine, une adresse d'administrateur, une « connexion suspecte » à sa messagerie. Le message est en anglais et s'ouvre sur un anonyme « Dear contact », alors qu'il est censé venir de chez vous.
Le but est connu. Dans son bilan de l'hameçonnage en 2025, Cybermalveillance.gouv.fr explique que les messages visant les professionnels annoncent souvent un changement de mot de passe obligatoire ou un renforcement de la sécurité de la messagerie, et mènent à un site qui demande les identifiants de la boîte mail.
L'autre version : le chantage depuis votre adresse
Le même procédé sert au chantage à la webcam : un « hacker » écrit depuis votre propre adresse pour prouver qu'il contrôle votre ordinateur, et réclame une rançon en cryptomonnaie. Cybermalveillance.gouv.fr décrit ces vagues de courriels depuis des années. Nous détaillons la réponse à apporter dans notre page sur la sextorsion par email.
Comment vérifier
Regardez les en-têtes du message. La ligne « Authentication-Results » indique si le message a passé les contrôles SPF, DKIM et DMARC de votre domaine. Un mail réellement envoyé depuis votre compte les passe en général ; un mail falsifié échoue, ou affiche « none » si le domaine ne publie pas ces réglages. Notre guide lire les en-têtes d'un email montre où les trouver dans Gmail, Outlook, Apple Mail et Yahoo Mail, et l'analyseur de la page d'accueil lit ces résultats si vous collez le message complet.
Vérifiez votre compte, pas le message. Connectez-vous à votre messagerie en tapant son adresse vous-même, consultez l'historique des connexions et les règles de redirection.
Si le domaine est le vôtre
Vous pouvez rendre cette usurpation beaucoup plus difficile. L'ANSSI recommande de configurer trois mécanismes dans les enregistrements DNS de vos domaines de messagerie : SPF, qui liste les serveurs autorisés à envoyer vos mails, DKIM, qui les signe, et DMARC, qui indique aux serveurs destinataires quoi faire d'un message qui échoue à ces contrôles. Avec une politique DMARC « quarantine » ou « reject », les messageries qui l'appliquent écartent les mails falsifiés à votre nom. L'ANSSI rappelle aussi leurs limites : ils ne protègent pas contre un domaine voisin du vôtre (typosquattage) ni contre un message piégé envoyé depuis un compte réellement compromis.
Que faire
Vous avez seulement reçu le message. Ne cliquez pas et ne répondez pas. Signalez-le sur signal-spam.fr, comme le recommande Cybermalveillance.gouv.fr. Si votre entreprise a un service informatique, transférez-le lui.
Vous avez saisi votre mot de passe. Suivez les mesures de Cybermalveillance.gouv.fr pour une boîte mail piratée : changez le mot de passe de la messagerie et de tous les sites où vous l'utilisiez, activez la double authentification, déconnectez les sessions inconnues, supprimez les règles de filtrage ou de redirection que vous n'avez pas créées, et prévenez vos contacts.
Un mail qui vient « de vous » ? Collez-le avec ses en-têtes dans notre analyseur : il affiche les résultats SPF, DKIM et DMARC du message.
Sources
- Cybermalveillance.gouv.fr, L'hameçonnage (« phishing ») en 2025 : une menace omniprésente, massive et diversifiée, publié le 1er juin 2026 : spoofing de la boîte du destinataire, faux messages de sécurité de messagerie visant les professionnels.
- Cybermalveillance.gouv.fr, Que faire en cas de piratage d'une boîte mail ?, mis à jour le 5 octobre 2026 : signes de piratage et mesures à prendre.
- Cybermalveillance.gouv.fr, Comment signaler un mail de phishing ou d'hameçonnage ?, mis à jour le 8 juillet 2026.
- ANSSI, Recommandations relatives à l'interconnexion d'un système d'information à Internet (ANSSI-PA-066, juin 2020), section 5.4 : SPF, DKIM, DMARC et leurs limites.
- Message reçu sur l'adresse de contact de mailarnaque.fr le 21 octobre 2026.