Quand un courriel légitime passe pour du hameçonnage

Où l’art du trompe-l’oeil appliqué au phishing

Depuis quelques années, comme tout un chacun, j’ai appris à faire le tri des courriels reçus et à détecter le moindre signe de fraude : fautes d’orthographes, logos ou illustrations mal alignées ou datées, liens étranges, et bien sûr, domaine d’expédition.

Une méfiance légitime

La Poste utilise, pour certains envois de colis, une adresse d’expédition peu recommandable : noreply@notif-colissimo-laposte.info.

En 2025, une personne recevant un tel message devrait, dans le meilleur des cas, l’analyser de manière approfondie, et dans le pire, le mettre à la corbeille en le plaçant comme tentative de hameçonnage (également appelé phishing).

C’est ce que je m’apprêtais à faire : Las ! Ma méfiance était vaine. Le message est légitime, officiel, provenant bien des services de la Poste.

Résultat : au mieux, une perte de temps ; au pire, un colis oublié ou une livraison ratée.

Pourquoi ce domaine pose problème ?

• Un domaine technique et peu familier : les utilisateurs s’attendent à des adresses simples et reconnaissables (comme @laposte.fr), pas à des formulations complexes. Sérieusement : notif-colissimo-laposte ?
• Des extensions de domaine inhabituelles : certaines extensions (.info, .io) sont souvent associées à des sites moins légitimes ou à des fraudes.
• Un risque de confusion accru : Pour exemple les questionnements sur ce forum de signalement des arnaques.

Adresse à la Poste…

Ce n’est pas à vos utilisateurs de faire l’effort de vérifier que le domaine d’expédition de votre courriel est correct. C’est à vous de faire en sorte que la confiance soit immédiate et votre marque immédiatement reconnaissable.

En agissant ainsi, vous ajoutez de la confusion là où il ne doit y avoir que clarté : Vous tendez également la main aux escrocs qui peuvent plus facilement s’emparer d’un domaine ressemblant pour envoyer leurs tentatives de hameçonnage.

Je viens de faire le test en direct : le domaine notif-colissimo-laposte.com, est le même que le vôtre, à l’extension près (.com contre .info). Il est disponible et peut être acheté pour moins de 10€ par n’importe quel pirate souhaitant récupérer des données personnelles, voire des données de carte bancaires. C’est trop facile.

Comment La Poste pourrait améliorer la situation ?

• Privilégier des sous-domaines clairs : par exemple, douane.laposte.fr ou suivi-colis.laposte.fr, plus faciles à identifier. l’atelier 62 peut vous assister dans cette transition, bien sûr ! Contactez-nous.
• Simplifier l’architecture des noms de domaine : réduire le nombre de domaines différents limite les risques de méfiance injustifiée.

Domaine actuel	Domaine idéal
noreply@notif-colissimo-laposte.info	suivi@laposte.fr
🤨	🙂
Risque de confusion élevé	Confiance immédiate

Que retenir ?

• Pour les utilisateurs : en cas de doute, vérifiez toujours l’information directement sur le site officiel de l’expéditeur (ex : laposte.fr) ou via son application. Évitez de cliquer sur des liens sans confirmation.
• Pour les entreprises : la sécurité ne se limite pas à la technique. Clarté et transparence sont essentielles pour maintenir la confiance.

La cybersécurité repose aussi sur la perception : une notification légitime doit inspirer confiance dès le premier regard.

l’atelier 62 peut vous assister dans la construction d’une architecture cohérente et engageante.