mise à jour

Verdict

Arnaque (hameçonnage) très probable : message usurpant le CPF, émis depuis un domaine de presse cubain sans lien avec l'administration française, avec un lien masqué par redirection Bing vers une page tierce hors sujet. Le message doit être bloqué et signalé, et tout clic éventuel traité comme un incident de sécurité.

Vecteur d’attaque

Hameçonnage par courriel usurpant l'identité du service CPF (Compte personnel de formation). Le message annonce une « activation » de l'enveloppe CPF et invite à « réserver » une formation sans frais, pour inciter la victime à cliquer sur un bouton « Choisir Ma Formation ». Ce bouton ne pointe pas vers un service officiel : il passe par une redirection Bing (bing.com/ck/a) qui mène à une page tierce, linklift.space, dont le contenu (article sur les politiques gouvernementales et la construction) est sans rapport avec le CPF. La redirection via un moteur de recherche masque la destination réelle aux filtres d'URL basés sur la réputation directe et joue sur la confiance accordée à un domaine connu. Le contenu du leurre (aucun frais, activation immédiate, « conditions applicables à votre dossier ») relève de l'ingénierie sociale classique utilisée dans les arnaques au CPF, dont l'objectif est probablement le vol d'identifiants ou de données personnelles, voire l'orientation vers une fausse offre de formation.

Infrastructure

Expéditeur : domaine prensa-latina.cu, qui appartient à l'agence de presse cubaine Prensa Latina, sans lien avec l'administration française. Le TLD .cu relève de Cuba et n'a aucune légitimité pour l'émission de communications du CPF. Le nom affiché « CPF » est une usurpation d'identité : l'adresse réelle est jfd@prensa-latina.cu. Le domaine de destination final est linklift.space (TLD .space, souvent utilisé pour des sites jetables ou à faible coût d'enregistrement). Le lien intermédiaire est une redirection via bing.com/ck/a, dont le paramètre u contient l'URL encodée en base64 (préfixe a1) : https://linklift.space/how-do-government-policies-affect-the-construction-industry/. L'URL finale est donc un article en anglais sur un thème sans rapport, probablement une page-relais ou un site compromis/loué servant de leurre. Le domaine officiel du CPF est moncompteformation.gouv.fr, absent du message.

Signaux techniques

• Expéditeur CPF avec un domaine de presse cubain (prensa-latina.cu) au lieu d'un domaine gouv.fr
• Incohérence entre le nom affiché « CPF » et le domaine réel de l'expéditeur
• Lien libellé « Choisir Ma Formation » pointant vers une redirection Bing, qui masque la destination réelle
• Destination finale sur linklift.space (TLD .space, sans lien avec l'administration), contenu hors sujet par rapport au CPF
• Redirection par un service tiers légitime utilisée pour contourner la réputation des URL
• Message non sollicité annonçant une activation de droits et l'absence de frais, schéma typique d'arnaque au CPF
• Urgence implicite (« dès aujourd'hui »)
• Paramètre de suivi du lien (ts=1753660800, soit le 27 juillet 2025) incohérent avec la date d'envoi affichée (3 novembre 2026)

Expéditeur et authentification

Adresse expéditrice

jfd@prensa-latina[.]cu

Domaine expéditeur

prensa-latina[.]cu

Domaine principal des liens

www[.]bing[.]com

SPF

réussi (pass)

DKIM

réussi (pass)

DMARC

réussi (pass)

Non disponible (message transféré). Les en-têtes SPF, DKIM et DMARC de l'expéditeur d'origine ne figurent pas dans les données fournies : aucun résultat ne peut être établi. Il est toutefois utile de noter que la présence d'un domaine de presse cubain comme expéditeur d'un message se réclamant du CPF constitue une anomalie majeure, indépendamment des résultats d'authentification. Une vérification DMARC de prensa-latina.cu à partir des en-têtes complets serait nécessaire pour confirmer si le domaine est usurpé ou réellement utilisé.

Indicateurs de compromission

Neutralisés (hxxp, [.]) pour éviter tout clic accidentel.

• Adresse expéditeur : jfd@prensa-latina[.]cu
• Domaine expéditeur : prensa-latina[.]cu
• Nom affiché usurpé : « CPF »
• URL de redirection : https://www[.]bing[.]com/ck/a?[.][.][.]&u=a1aHR0cHM6Ly9saW5rbGlmdC5zcGFjZS9ob3ctZG8tZ292ZXJubWVudC1wb2xpY2llcy1hZmZlY3QtdGhlLWNvbnN0cnVjdGlvbi1pbmR1c3RyeS8&ntb=1
• URL finale décodée : https://linklift[.]space/how-do-government-policies-affect-the-construction-industry/
• Domaine de destination : linklift[.]space
• Paramètre fclid : 148b8bc7-6c57-69bf-167c-9dc06de46818 (identifiant de suivi Bing, non malveillant en soi)
• Objet : « mise à jour »
• hxxps://www[.]bing[.]com/ck/a?!&&p=a3cfc88e99f3192ec834a9a0a79fc1d8a20681858f0368b48d2aecf7ff7f690aJmltdHM9MTc1MzY2MDgwMA&ptn=3&ver=2&hsh=4&fclid=148b8bc7-6c57-69bf-167c-9dc06de46818&u=a1aHR0cHM6Ly9saW5rbGlmdC5zcGFjZS9ob3ctZG8tZ292ZXJubWVudC1wb2xpY2llcy1hZmZlY3QtdGhlLWNvbnN0cnVjdGlvbi1pbmR1c3RyeS8&ntb=1

Réputation des liens

• URLhaus : aucune menace connue
• AlienVault OTX : aucun indicateur connu

Recommandations techniques

1) Bloquer l'expéditeur prensa-latina.cu et le domaine linklift.space au niveau de la passerelle de messagerie et du proxy web (y compris via les règles de blocage sur les redirections bing.com/ck/a vers ces domaines). 2) Rechercher dans les journaux de messagerie et de proxy toute interaction avec ces domaines (réception, clic, connexion). 3) Pour les utilisateurs ayant cliqué, réinitialiser leurs identifiants, activer le MFA et surveiller le compte CPF. 4) Signaler le message à Signal Spam, à la plateforme Pharos (internet-signalement.gouv.fr) et, si nécessaire, à Cybermalveillance.gouv.fr. 5) Rappeler aux utilisateurs que le CPF s'utilise uniquement sur moncompteformation.gouv.fr et que l'activation de droits ne demande jamais de paiement ni de partage de données par lien. 6) Ajouter une règle de détection sur les messages se réclamant du CPF provenant de domaines hors gouv.fr.