Le jour où un vrai mail de Trezor était un faux

Le 9 septembre 2026 au soir, une alerte de sécurité a été envoyée au nom de Trezor, un fabricant de portefeuilles matériels pour cryptoactifs, aux adresses inscrites à sa lettre d'information.

J'ai pu me procurer un exemplaire complet de ce message, en-têtes techniques compris, et l'analyser. Il a été reçu à 21 h 52, heure de Paris.

Le message annonçait une faille critique dans le composant électronique de certains appareils. Le défaut aurait affaibli la génération de la phrase de récupération, cette suite de mots qui donne accès aux fonds. Un lien invitait le destinataire à vérifier si son appareil était concerné.

Le message venait de la véritable adresse de la marque. Le lien pointait vers un sous-domaine officiel de la marque. Les contrôles automatiques qu'une messagerie applique à chaque message, ceux qui vérifient qu'un expéditeur a bien le droit d'écrire au nom d'un domaine, ne signalaient rien.

C'était un faux.

Ce qui s'est réellement passé

Le lendemain, Trezor a publié un communiqué. Un acteur non autorisé avait accédé au système de Brevo, la plateforme que la marque utilise pour ses envois de newsletters. Trezor évoquait alors 120 comptes clients touchés chez ce prestataire, dont le sien. Le rapport d'incident publié ensuite par Brevo a porté ce périmètre à 138 comptes, dont six ont servi à envoyer des messages frauduleux.

Depuis le compte de Trezor, l'attaquant a envoyé un message intitulé « Critical Security Alert: STM32 Entropy Vulnerability ». La base concernée compte environ 347 000 adresses. Le lien conduisait au téléchargement d'une application qui demandait ensuite la phrase de récupération de l'utilisateur.

Trezor indique avoir neutralisé le domaine en une vingtaine de minutes. Avant cette coupure, environ 2 500 personnes avaient cliqué. La marque précise aussi qu'un simple clic n'exposait pas les fonds : seule la saisie de la phrase le faisait.

Ces chiffres viennent du communiqué de Trezor et du rapport d'incident de Brevo. Je les cite tels quels, sans les arrondir ni les commenter.

Pourquoi le message paraissait authentique

C'est le point qui mérite votre attention, bien au-delà du monde des cryptoactifs.

Quand une entreprise confie ses envois d'emails à un prestataire, celui-ci expédie les messages au nom de l'entreprise, depuis une infrastructure autorisée à le faire. Les liens de suivi passent par un sous-domaine de l'entreprise. Tout est configuré pour que le message soit reconnu comme légitime, parce qu'il l'est habituellement.

Le jour où ce prestataire est compromis, l'attaquant hérite de cette légitimité. Il n'a pas besoin d'inventer une adresse ressemblante, ni d'acheter un nom de domaine approchant. Il écrit depuis la vraie.

Les contrôles techniques automatiques ne détectent rien, et pour une raison logique. Ils prouvent qu'un serveur avait l'autorisation d'envoyer au nom d'un domaine. Ils ne prouvent pas que la personne aux commandes de ce compte d'envoi, à cet instant, était légitime.

C'est une nuance que quinze ans de conseils de prudence n'ont jamais énoncée. On nous a appris à regarder l'enveloppe. Ce soir-là, l'enveloppe était la bonne.

Le contenu était aussi soigné que l'enveloppe

L'autre force de cette campagne tient à son texte.

Quelques semaines plus tôt, une faille bien réelle avait été rendue publique chez un concurrent, sur des appareils Coldcard. Elle affectait la qualité du hasard utilisé pour générer certaines phrases de récupération, ce qui rendait des portefeuilles vulnérables. L'affaire avait été largement commentée dans le milieu. Trezor avait d'ailleurs publié en août un article expliquant pourquoi ses propres appareils n'étaient pas concernés.

Les auteurs du faux message ont repris cette histoire vraie, technique, récente et vérifiable, et ont simplement changé la victime.

Un lecteur averti retrouvait donc dans le message tout ce qu'il avait lu ailleurs : le bon vocabulaire, le bon ordre de grandeur, le bon type de composant. La cohérence apparente faisait le reste.

Et il y avait cette phrase, dans le faux message : ne saisissez jamais votre phrase de récupération sur un site.

Lisez-la deux fois. L'escroc énonce lui-même la règle de sécurité fondamentale. Il gagne ainsi la confiance de sa cible, avant de l'amener vers une procédure présentée comme exceptionnelle, qui finira par lui faire contourner cette règle au nom de l'urgence.

Rien ne permet d'affirmer que l'heure d'envoi a été choisie à dessein. Mais elle illustre un risque bien réel : un message reçu en soirée tombe à un moment où l'on est seul, fatigué, sans collègue à qui demander un avis, et où aucun service client n'est joignable pour vérifier.

Ce que cela change pour vous

Vous n'avez peut-être aucun rapport avec les cryptoactifs. Le mécanisme, lui, ne dépend pas du secteur.

Un prestataire d'emailing compromis peut servir à écrire au nom d'une banque, d'un opérateur, d'une compagnie d'assurance ou d'un service public. La même semaine, d'autres marques utilisant le même prestataire ont été visées.

Trois conclusions me paraissent solides.

Vérifier l'expéditeur reste utile, mais ce n'est plus une preuve. C'est un filtre qui élimine les tentatives grossières, et elles restent majoritaires. Ce n'est pas une défense contre les campagnes bien préparées.

Survoler un lien ne suffit pas non plus. Quand le lien de suivi passe par un sous-domaine officiel, l'adresse affichée est authentique. Ce qui se trouve après la redirection ne l'est pas.

La cohérence technique d'un message n'est pas un gage de véracité. Un texte peut être exact sur tout, sauf sur l'essentiel.

La question qui protège encore

Puisque l'apparence ne décide plus, il faut déplacer la vérification.

Une seule question continue de fonctionner : qu'est-ce qu'on me demande de faire, et est-ce que je peux le vérifier par un canal que j'ouvre moi-même ?

Elle est efficace parce qu'elle ne porte pas sur le message, sur lequel l'attaquant a tout pouvoir, mais sur l'action demandée, sur laquelle il n'en a aucun.

Quelques réponses sont invariables, quel que soit l'expéditeur apparent.

• Aucune entreprise légitime ne demande votre phrase de récupération, sous aucun prétexte, par aucun canal.

• Aucun établissement bancaire ne demande de valider une opération dans votre application pour l'annuler ou la bloquer.

• Aucun service ne vous demande d'installer un logiciel pour vérifier votre sécurité.

Et le canal que vous ouvrez vous-même, c'est celui que vous composez ou que vous tapez, jamais celui qu'on vous a fourni. Vous raccrochez, vous fermez le message, et vous reprenez contact par le numéro de votre application, l'adresse que vous tapez vous-même, ou le document officiel que vous avez chez vous.

Une alerte reçue le soir peut presque toujours attendre le lendemain matin. L'urgence est le premier outil de l'escroc.

Et si c'est déjà arrivé

Un point rassurant, confirmé par Trezor dans cette affaire : ouvrir le message et cliquer sur le lien n'exposait pas les fonds. Le danger ne se matérialisait qu'au moment de la saisie de la phrase de récupération.

Cette gradation vaut plus largement. Recevoir un message frauduleux n'est rien. Cliquer est rarement grave en soi. Saisir une information, valider une opération ou installer un fichier change complètement la nature du problème.

C'est pourquoi j'ai écrit un protocole d'urgence, organisé par situation plutôt que par chapitre. Vous ouvrez ce qui vous concerne, et vous obtenez ce qu'il faut faire immédiatement, dans les vingt-quatre heures et dans la semaine. Il est en accès libre, sans inscription, et il couvre aussi bien les mails que les SMS, les appels, les messageries et le courrier.

Il y a une raison à cette gratuité. Une personne qui vient de se faire piéger n'a pas besoin d'une page de commande. Elle a besoin de savoir quoi faire, tout de suite, et dans le bon ordre.

Ce que je retire de cette affaire

Je ne crois pas que la leçon soit de se méfier davantage. La méfiance permanente est épuisante, et elle finit par céder au premier moment de fatigue.

La leçon me semble plutôt d'accepter que la vérification d'apparence a fait son temps, et de la remplacer par une règle de conduite, qui elle ne dépend d'aucune compétence technique.

On ne vérifie plus qui parle. On vérifie ce qu'on nous demande, et on le fait par un chemin qu'on a choisi soi-même.

Contenu pédagogique. Ce texte n'est ni une prestation de réponse à incident, ni un conseil juridique. Les faits relatifs à l'incident du 9 septembre 2026 proviennent du communiqué publié par Trezor le 10 septembre 2026 et du rapport d'incident publié ensuite par Brevo.