Christophe Boutry on Nostr: 🚨 ProtonMail a payé pour cette faille. 17 mois plus tard, elle ne serait toujours ...

🚨 ProtonMail a payé pour cette faille. 17 mois plus tard, elle ne serait toujours pas corrigée.

Le chercheur Alonso Vidales a découvert un problème permettant de faire apparaître dans Proton Mail un email frauduleux comme provenant d’un expéditeur de confiance.

La technique combine plusieurs faiblesses :

➡️ un faux nom d’expéditeur ressemblant à une véritable adresse email ;

➡️ des caractères visuellement identiques — par exemple gmaiI. com avec un I majuscule à la place du l ;

➡️ l’adresse réelle de l’expéditeur peu visible sans ouvrir les détails ;

➡️ et, dans certains cas, aucun avertissement d’authentification, même lorsque SPF échoue.

Résultat : un email de phishing peut arriver dans la boîte de réception avec l’apparence d’un message parfaitement légitime.

Le problème avait été signalé à Proton en février 2025. Proton l’a reconnu et a versé un bug bounty en avril 2025, en indiquant que des changements seraient apportés.

👉 En septembre 2026, le chercheur affirme que la technique reste reproductible.

Pour un service qui place la sécurité et la confiance au centre de son discours, 17 mois entre la reconnaissance d’un problème et son absence apparente de correction, ça mérite des explications.

Source : CyberInsider / travaux d’Alonso Vidales.


https://cyberinsider.com/proton-mail-spoofing-flaw-still-unfixed-17-months-after-bounty/