Une faille de sécurité majeure, identifiée en février 2025 sur l'interface web de Proton Mail, permet à des expéditeurs malveillants de contourner les systèmes d'alerte de la messagerie. Malgré la reconnaissance du problème par l'entreprise et le versement d'une prime au chercheur ayant découvert la brèche, aucun correctif n'a été déployé après plus de 17 mois d'attente.
Une vulnérabilité persistante malgré le signalement
La faille a été documentée par Alonso Vidales, ingénieur logiciel et chercheur en sécurité, dès le 13 février 2025. Bien que Proton ait confirmé l'existence de cette vulnérabilité dans le cadre de son programme Bug Bounty en avril 2025, le chercheur a constaté, lors de tests effectués en septembre 2026, que le problème restait entier. Face à l'absence d'action corrective, il a choisi de rendre son rapport public pour alerter les utilisateurs de la plateforme, qui revendique plus de 100 millions d'abonnés.
Mécanisme d'une attaque par usurpation
La vulnérabilité repose sur une technique d'usurpation d'adresse e-mail facilitée par l'interface web. L'attaquant utilise des pièges typographiques, tels que le remplacement de lettres par des caractères visuellement identiques, pour tromper la vigilance de l'utilisateur. Le système de Proton Mail échoue à signaler ces anomalies lorsque le domaine de l'expéditeur ne publie pas d'enregistrement DMARC, même si le message échoue aux contrôles de sécurité SPF. En l'absence de bandeau d'avertissement, les e-mails frauduleux parviennent à s'insérer dans la boîte de réception sans éveiller de soupçons.
Risques pour les utilisateurs et absence de communication
Cette faille expose les utilisateurs à des tentatives de phishing sophistiquées, où la victime peut répondre à un message frauduleux sans que l'interface ne signale le décalage entre l'expéditeur technique et l'adresse affichée. Pour se protéger, il est conseillé de vérifier systématiquement les en-têtes des messages, notamment en cas de divergence entre le champ « Expéditeur » et le champ « Répondre ». Interrogée sur l'absence de correctif, l'entreprise Proton a indiqué ne pas souhaiter faire de commentaire à ce stade, laissant les utilisateurs dans l'incertitude quant à une résolution prochaine de cette brèche de sécurité.