Un e-mail provenant d’une personne que l’on connaît ou d’une adresse officielle inspire généralement confiance. Pourtant, même un compte de messagerie authentique peut être utilisé pour envoyer des messages frauduleux.

De récents cas de phishing dans les écoles luxembourgeoises montrent comment des cybercriminels utilisent des comptes déjà piratés pour tenter de voler d’autres identifiants de connexion.

Des messages de phishing envoyés depuis des comptes scolaires piratés

En octobre 2026, au Luxembourg, des messages d’hameçonnage (phishing) ont été envoyés depuis de véritables adresses e-mail « @school.lu ». Les cybercriminels avaient auparavant réussi à accéder aux comptes de messagerie de certains élèves.

Les messages annonçaient par exemple la réception d’un prétendu message vocal, qui pouvait être écouté en cliquant sur un lien.

En cliquant sur ce lien, les destinataires étaient redirigés vers une fausse page de connexion ressemblant à une page officielle. En réalité, cette page avait pour objectif de voler leurs identifiants et leurs mots de passe.

Comment fonctionne cette arnaque ?

La particularité de cette méthode est que les messages frauduleux proviennent de véritables comptes de messagerie.

Les cybercriminels utilisent des identifiants déjà volés pour accéder au compte d’une autre personne. Ils se servent ensuite de ce compte piraté pour envoyer de nouveaux messages de phishing.

Comme l’adresse e-mail est authentique et peut même appartenir à une personne connue, le message paraît particulièrement crédible.

Lorsqu’une personne saisit ses identifiants sur la fausse page de connexion, elle les transmet sans le savoir aux cybercriminels. Ces derniers peuvent alors tenter de prendre le contrôle de son compte et de l’utiliser pour envoyer d’autres messages frauduleux.

Ainsi, un seul compte piraté peut servir à lancer de nombreuses autres tentatives d’arnaque.

Que deviennent les identifiants volés ?

Le vol d’un mot de passe peut avoir de nombreuses conséquences. Les cybercriminels peuvent notamment accéder à des informations personnelles, prendre le contrôle d’autres comptes ou envoyer des messages au nom de la personne concernée.

Les identifiants volés peuvent également être revendus sur des marchés illégaux en ligne, notamment sur le darknet. D’autres criminels peuvent ensuite utiliser ces informations pour mener de nouvelles attaques.

Cela ne signifie toutefois pas que les identifiants des comptes « @school.lu » concernés ont été revendus. Aucune information ne permet de l’affirmer dans ce cas précis.

Comment se protéger du phishing ?

• Se méfier des messages inattendus. Même une adresse e-mail authentique ne garantit pas qu’un message soit fiable. Une demande inhabituelle de connexion ou de données personnelles doit éveiller la méfiance.
• Vérifier l’adresse du site Internet. Les fausses pages de connexion peuvent ressembler à s’y méprendre aux pages officielles. En cas de doute, mieux vaut accéder directement au site officiel plutôt que de cliquer sur un lien reçu par e-mail.
• Utiliser des mots de passe différents. Chaque compte devrait être protégé par un mot de passe unique. Lorsque cela est possible, il est également recommandé d’activer l’authentification à deux facteurs (2FA).
• Réagir rapidement en cas de doute. Si un mot de passe a été saisi sur un site suspect, il faut le modifier immédiatement depuis le site officiel. Si ce même mot de passe est utilisé pour d’autres comptes, il doit également y être changé.

Pour en savoir plus, BEE SECURE propose des informations et des conseils pratiques sur le phishing (hameçonnage).

Les e-mails suspects peuvent être signalés et analysés grâce à SPAMBEE (un outil luxembourgeois qui permet d’analyser les mails suspects).

Une arnaque qui ne concerne pas uniquement les écoles

Cette méthode ne se limite pas aux comptes de messagerie scolaires. Les comptes privés et professionnels peuvent eux aussi être piratés et utilisés pour tromper d’autres personnes.

Cet exemple montre que l’expéditeur ne suffit pas, à lui seul, à déterminer si un message est digne de confiance.Ce qui compte également, c’est ce qui est demandé dans le message.

Les cybercriminels utilisent un principe similaire sur les applications de messagerie.