Lorsqu’un courriel paraît frauduleux, le premier réflexe est souvent le bon : ne pas cliquer, ne pas ouvrir la pièce jointe, signaler le message puis le supprimer.
Mais en disparaissant dans la corbeille, ce message emporte également des informations qui pourraient être utiles : une identité usurpée, un domaine douteux, une URL trompeuse, une anomalie d’authentification, l’empreinte d’une pièce jointe ou un indicateur déjà présent dans d’autres messages.
C’est de ce constat qu’est né FrelonMail, premier projet public porté par Moralement.NET.
FrelonMail est un outil open source d’analyse de courriels suspects, défensif et conçu pour ne pas confisquer le jugement humain.
Analyser sans envoyer le message ailleurs
FrelonMail analyse localement des fichiers de courriels aux formats EML et Outlook MSG.
Le message n’est pas transmis à une plateforme distante. Les liens qu’il contient ne sont pas visités. Ses pièces jointes ne sont pas exécutées. L’application ne répond pas à l’expéditeur et n’engage aucune action contre une infrastructure extérieure.
FrelonMail n’exige pas de compte, parce qu’il n’a pas besoin de connaître ses utilisateurs. Il n’envoie pas leurs messages ailleurs, parce qu’il les analyse chez eux.
Ces principes ne sont pas propres à la version bêta. Ils constituent des choix d’architecture.
Le message analysé, les résultats produits et l’historique des décisions restent sur le poste de l’utilisateur.
De la preuve brute à une analyse exploitable
FrelonMail commence par calculer l’empreinte SHA-256 du fichier source. Cette empreinte permet d’identifier précisément la preuve analysée et de reconnaître un éventuel réimport du même message.
L’application relève ensuite différents éléments techniques :
- les identités déclarées dans le courriel ;
- les résultats SPF, DKIM et DMARC déjà présents dans ses en-têtes ;
- les serveurs par lesquels le message a transité ;
- les URL, domaines et adresses IP qu’il contient ;
- les noms, types et empreintes de ses pièces jointes ;
- les indicateurs susceptibles d’être rapprochés d’autres incidents.
Ces informations sont regroupées dans un incident structuré. FrelonMail peut ensuite produire des synthèses lisibles, des rapports techniques et des exports réutilisables aux formats Markdown, JSON ou CSV.
Les incidents peuvent être conservés dans une base SQLite locale, avec les décisions prises par l’utilisateur.
FrelonMail ne conserve pas le corps du message ni le contenu binaire de ses pièces jointes dans l’incident enregistré.
Un score n’est pas une preuve
L’analyse automatique peut faire apparaître des signaux et proposer une appréciation prudente. Elle ne prétend pas déterminer seule qu’un courriel est frauduleux.
Une authentification réussie ne garantit pas qu’un message soit légitime. Un domaine inhabituel n’est pas nécessairement malveillant. À l’inverse, l’absence de signal détecté ne signifie pas que le message soit sûr.
FrelonMail distingue donc explicitement :
- 01les faits extraits du fichier ;
- 02les règles appliquées à ces faits ;
- 03la piste proposée par l’application ;
- 04la décision humaine.
Le score de risque n’est pas présenté comme une probabilité de fraude et la classification automatique n’est jamais transformée silencieusement en verdict.
Lorsqu’un utilisateur prend une décision, celle-ci est enregistrée séparément. Elle ne réécrit pas rétroactivement ce que l’application avait observé et proposé au moment de l’analyse.
L’objectif n’est pas de remplacer le jugement, mais de lui fournir des éléments plus clairs, plus structurés et plus faciles à vérifier.
Des rapprochements prudents
Lorsqu’ils partagent certains indicateurs techniques, plusieurs incidents peuvent appartenir à une même opération.
FrelonMail peut donc rapprocher des messages à partir d’éléments exacts et pondérés : une empreinte de fichier, une URL complète, une adresse IP, une adresse électronique ou plusieurs domaines communs.
Un domaine isolé ne suffit volontairement pas à créer un rapprochement.
Le résultat est présenté comme une campagne candidate. Les indicateurs utilisés et leur poids restent visibles, mais FrelonMail ne confirme jamais automatiquement qu’il s’agit d’une même campagne.
Cette confirmation reste une décision humaine distincte de l’examen individuel de chaque incident.
Préparer une action sans l’automatiser
L’analyse d’un message peut conduire à préparer un signalement destiné, par exemple, à un hébergeur, un registrar, un fournisseur de messagerie ou un service anti-phishing.
FrelonMail peut structurer les éléments utiles, produire un dossier adapté au rôle du destinataire et générer un export minimisé des indicateurs susceptibles d’être partagés.
Mais il ne recherche pas automatiquement le destinataire réel, ne choisit pas à qui transmettre les informations et n’envoie rien.
L’utilisateur doit confirmer son appréciation, vérifier les éléments produits, choisir le destinataire et décider de la transmission.
L’automatisation prépare le travail. Elle ne s’approprie pas la décision.
Pourquoi publier le code source ?
Un outil qui analyse des courriels potentiellement sensibles ne devrait pas demander qu’on lui fasse confiance sur parole.
FrelonMail est publié sous Mozilla Public License 2.0. Son code source, ses tests, ses scripts de construction et ses principaux choix techniques peuvent être examinés.
Cette ouverture permet de vérifier ce que fait réellement l’application, mais aussi de discuter ses règles, de signaler des erreurs et de proposer des améliorations.
Open source ne signifie pas infaillible.
Cela signifie que les hypothèses et les mécanismes du projet peuvent être observés, critiqués et corrigés.
Une première bêta publique
FrelonMail est désormais disponible dans une première version bêta pour Windows 64 bits.
Cette version permet déjà :
- d’analyser des fichiers EML et Outlook MSG ;
- de visualiser les éléments techniques relevés ;
- de consulter le score et la piste de classification proposés ;
- d’enregistrer une décision humaine distincte ;
- de conserver localement les incidents ;
- de rechercher des campagnes candidates ;
- de produire des rapports et des exports défensifs.
L’exécutable n’est pas encore signé numériquement. Windows SmartScreen peut donc afficher un avertissement lors du téléchargement ou du premier lancement.
Une empreinte SHA-256 est publiée avec l’archive afin d’en vérifier l’intégrité. Cette vérification ne remplace pas une signature d’éditeur, mais permet de contrôler que le fichier téléchargé correspond bien à celui qui a été publié.
Un message entièrement synthétique est fourni pour découvrir le parcours de l’application sans utiliser un véritable courriel.
Ce que nous cherchons maintenant
Cette bêta doit être confrontée à des environnements différents et à des utilisateurs ayant des niveaux techniques variés.
Les retours recherchés ne concernent donc pas seulement le fonctionnement du logiciel :
- l’objectif de l’application est-il compris rapidement ?
- les précautions et les limites sont-elles suffisamment visibles ?
- la différence entre analyse automatique et décision humaine est-elle claire ?
- les rapports produits sont-ils réellement exploitables ?
- certaines informations restent-elles trop difficiles à trouver ?
- le parcours est-il suffisamment prudent pour éviter une mauvaise interprétation ?
Les retours publics ne doivent contenir aucun véritable courriel, en-tête complet, rapport d’analyse, fichier de base de données ou pièce jointe.
Même un message frauduleux peut contenir des données personnelles ou confidentielles.
À vous de confronter FrelonMail au vrai terrain.
Le site du projet présente la version actuelle, les instructions de téléchargement et les précautions à connaître. Le dépôt public réunit les releases et le suivi du projet.
FrelonMail est encore jeune, mais sa direction est claire : extraire, structurer et préparer sans retirer à l’utilisateur la responsabilité de comprendre, de vérifier et de décider.
Frelon ne pique pas les machines. Il pique les campagnes.