La question de savoir si le fax est plus sécurisé que l’e-mail est débattue depuis des décennies. La réponse n’est pas tranchée : elle dépend largement de la nature de votre activité, du type d’informations confidentielles que vous échangez, du niveau de sophistication des attaquants potentiels et de la robustesse de vos propres systèmes.
Le débat oppose deux camps. D’un côté, ceux qui estiment que le fax est moins susceptible d’être intercepté par des pirates informatiques, car il transite par une ligne physique. De l’autre, ceux qui considèrent que le piratage n’est pas une menace pour les télécopieurs puisqu’ils ne se connectent pas directement à des réseaux et n’envoient pas leurs transmissions par Internet comme le fait l’e-mail. Les deux positions ont leurs arguments. Examinons ceux en faveur du fax.
Comparaison de sécurité : fax vs e-mail
Points de sécurité du fax
- Nécessite un accès physique à la ligne téléphonique pour intercepter la transmission
- Nécessite un accès physique au télécopieur pour récupérer le document
- Les messages peuvent arriver dans un espace accessible à d’autres personnes
- Une fois récupérés, les messages reçus ne persistent pas indéfiniment sur un serveur
- L’en-tête de fax (CSID) peut être falsifié
- La falsification est presque impossible à détecter
Points de sécurité de l’e-mail
- L’interception requiert des compétences avancées en piratage
- Les messages arrivent sur un ordinateur généralement protégé par un mot de passe
- Les messages peuvent résider sur un serveur indéfiniment, exposés à une compromission future
- Vulnérable au phishing
- Lorsqu’il est correctement configuré : ne permet pas la falsification de l’adresse expéditeur
- La falsification est difficile à détecter, mais des indices existent
L’aspect physique
Accessibilité
La caractéristique principale du fax par rapport à l’e-mail est simple : il est physique. Toutes les données envoyées par fax transitent par une ligne téléphonique, ce qui signifie qu’un attaquant doit avoir accès à vos lignes pour intercepter la transmission. À l’inverse, un pirate motivé peut intercepter des e-mails circulant sur Internet sans jamais entrer en contact direct avec votre réseau.
Une fois l’accès physique obtenu, l’attaquant a encore besoin de temps et d’expertise pour mettre sur écoute une ligne téléphonique de manière efficace. Poser une écoute nécessite un équipement spécifique et du temps pour l’installer. À l’échelle actuelle de la sophistication des cyberattaques, compromettre une ligne téléphonique à des fins d’interception reste du piratage avancé.
Nuance importante pour la France : la grande majorité des lignes téléphoniques professionnelles fonctionnent aujourd’hui en VoIP (réseau IP), et non plus sur le RTCP analogique. Un fax envoyé sur une infrastructure VoIP transite donc en partie par Internet, ce qui réduit l’argument de « circuit physiquement fermé » souvent invoqué en faveur du fax. L’isolation totale du réseau public ne vaut vraiment que pour les rares lignes analogiques encore en service.
L’aspect physique introduit également d’autres risques. Dans certaines organisations, le télécopieur est placé dans un espace commun accessible à plusieurs employés. Un document arrivé et non récupéré rapidement peut être vu ou subtilisé par un tiers. Ce scénario est peu probable avec l’e-mail, où les messages arrivent sur des postes en général protégés et/ou résident sur des serveurs de messagerie sécurisés.
L’aspect logiciel
Les télécopieurs ne sont pas vulnérables aux logiciels malveillants classiques. Cela les rend plus sûrs sous cet angle, mais certains risques demeurent.
Virus
Un télécopieur analogique est un système fermé basé sur du matériel dédié. Il est donc impossible d’y installer un virus ou un logiciel malveillant. Les télécopieurs traditionnels ne peuvent pas transmettre de virus par les lignes téléphoniques, et un expéditeur ne peut pas infecter le destinataire via un télécopieur analogique.
Logiciels malveillants
Si la création de logiciels malveillants ciblant les télécopieurs est techniquement possible, notamment pour les appareils multifonctions haut de gamme avec capacité de fax sur IP (qui sont en réalité de petits ordinateurs), les télécopieurs traditionnels ne constituent pas à ce jour un vecteur d’attaque connu. Il est bien plus rentable pour les auteurs de malwares de cibler les ordinateurs et les smartphones.
Chiffrement
La question du chiffrement revient souvent : « les transmissions de fax sont-elles chiffrées ? »
Lorsque vous envoyez un fax depuis un appareil standard du commerce, la transmission n’est pas chiffrée. Elle s’effectue dans un format numérique normalisé (ITU-T groupe 3 ou 4, anciennement CCITT groupe 3 ou 4) et peut être interceptée et lue par quiconque est capable de mettre sur écoute votre ligne téléphonique.
Des solutions de chiffrement des transmissions de fax existent, notamment pour les missions diplomatiques et les institutions à haute sécurité. Elles nécessitent toutefois un équipement dédié et compatible des deux côtés de la communication, et ne peuvent donc pas être généralisées à un usage professionnel courant.
Il est important de noter que lorsque des fournisseurs de services de fax en ligne affirment proposer du « fax chiffré », ils ne parlent pas de la transmission de fax elle-même. Ils font référence au chiffrement de leur stockage de fichiers, de l’accès à leurs systèmes, ou de l’envoi du message de fax par e-mail ou API avant et après la transmission proprement dite.
Fax chiffré ? Pas vraiment.
Le premier fournisseur de services de fax à apparaître sur Google pour le terme « encrypted fax » le confirme lui-même :
La sécurité des messages envoyés via le système InterFAX peut être améliorée en chiffrant vos e-mails. Bien que cela ne chiffre PAS la transmission de fax depuis nos serveurs vers le télécopieur, cela SÉCURISE le contenu de votre message en transit depuis votre ordinateur vers nos serveurs. – upland InterFAX
En pratique, la plupart des e-mails ne sont pas non plus chiffrés de bout en bout, même si la capacité de signer et chiffrer les messages existe depuis longtemps et est disponible dans la plupart des clients de messagerie modernes.
Cela dit, la quasi-totalité des serveurs de messagerie utilisent aujourd’hui TLS pour communiquer entre eux, ce qui rend l’interception et la manipulation des transmissions d’e-mails extrêmement difficile en pratique.
Le facteur humain
Hameçonnage (phishing)
Les attaquants privilégient l’e-mail car les télécopieurs sont moins immédiatement vulnérables au phishing. Pour un pirate, l’avantage de l’e-mail sur le fax est qu’il peut atteindre son objectif en trompant un utilisateur pour qu’il ouvre une pièce jointe malveillante.
Il est donc plus facile pour les attaquants d’utiliser l’e-mail pour infecter des postes avec des logiciels malveillants. Contrairement à l’e-mail, un télécopieur ne dispose pas d’une boîte de réception accessible depuis l’extérieur. Et même si les fax sont stockés électroniquement, les documents entrants doivent être transférés manuellement vers le stockage par une personne qui sait ce qu’elle fait. On peut considérer cela comme une couche de protection supplémentaire.
Usurpation d’identité (spoofing)
L’usurpation d’adresse e-mail consiste à modifier le champ « De » d’un message pour faire croire qu’il provient d’un autre expéditeur. Elle est généralement utilisée à des fins frauduleuses ou pour du phishing. Cette technique peut être atténuée, mais cela dépend de la bonne configuration des serveurs DNS de l’entité usurpée.
L’usurpation est également possible par fax. Dans ce contexte, elle peut prendre deux formes :
- Envoyer un en-tête de fax (CSID) affichant un expéditeur différent du réel.
- Envoyer un fax avec un identifiant d’appelant falsifié. Cela nécessite un accès plus approfondi à la configuration de téléphonie.
Falsification de l’en-tête de fax (CSID)
Un fax peut être configuré pour transmettre un en-tête au destinataire. Cet en-tête est un texte qui peut contenir n’importe quelle information, mais indique généralement la date et l’heure d’envoi, le numéro de fax expéditeur, le nom de l’expéditeur et d’autres informations. Voici comment Canon le présente dans son manuel utilisateur :
Image : Canon
Le numéro de fax et le nom de l’expéditeur, sur lesquels le destinataire pourrait se fier pour vérifier l’authenticité du document, sont très simples à modifier dans les paramètres du télécopieur expéditeur, ce qui rend les confirmations de fax peu fiables pour la vérification d’identité.
Contrefaçon de documents
Falsifier le contenu d’un e-mail ou d’un fax est relativement simple. Mais là où un fax offre peu d’informations sur son origine, un e-mail transporte une quantité de métadonnées permettant de retracer son parcours. Même sans pouvoir affirmer qu’un e-mail est falsifié, la réputation de l’expéditeur peut souvent orienter le jugement.
Falsifier un fax est un exercice accessible dans n’importe quel logiciel d’édition d’images. Il suffit de récupérer le papier à en-tête d’une entreprise (facilement trouvable sur Internet) et de compléter les informations. La confiance accordée aux documents envoyés par fax pour leur signature est, dans ce sens, assez naïve. Une fois le document falsifié, il est également facile de configurer le télécopieur pour afficher l’en-tête CSID approprié. Le destinataire dispose alors de très peu d’éléments objectifs pour juger de l’authenticité du document, hormis son bon sens.
En comparaison, falsifier un e-mail est tout aussi simple. Mais un e-mail reçu transporte une grande quantité de métadonnées qui en permettent l’analyse, comme le montre l’image ci-dessous.
Implications pour la conformité en France
Pour les professionnels soumis au RGPD, au secret médical ou à des obligations de confidentialité, le choix du canal de communication est encadré par des exigences précises :
- Secteur médical : le secret médical (article L. 1110-4 du Code de la santé publique) impose la confidentialité des données de santé. Les échanges entre professionnels de santé, hôpitaux, CPAM et Sécurité sociale doivent emprunter des canaux sécurisés. Le fax est historiquement toléré dans ce contexte, mais son usage sur des infrastructures VoIP doit être évalué avec soin.
- Professions juridiques : notaires et cabinets d’avocats sont soumis au secret professionnel. Le RGPD impose une analyse de risque sur tout outil de communication traitant des données personnelles de clients.
- RGPD : quelle que soit l’organisation, le règlement exige la mise en place de mesures techniques et organisationnelles appropriées pour protéger les données personnelles. Ni le fax analogique ni l’e-mail standard ne satisfont à eux seuls aux exigences les plus strictes : l’un comme l’autre peut nécessiter des mesures complémentaires (chiffrement, protocoles sécurisés, traçabilité).
En conclusion
Comme vous pouvez le constater, il est impossible de dire de manière absolue si le fax est plus ou moins sécurisé que l’e-mail, les deux étant exposés à des attaques différentes. La réponse dépend avant tout de la nature spécifique de votre activité et des risques auxquels vous êtes confronté.
En France, la généralisation du fax sur VoIP affaiblit l’argument du « circuit physique fermé » qui constituait l’avantage historique du fax sur l’e-mail. Pour les usages soumis au RGPD ou au secret professionnel, une analyse de risque documentée reste la seule approche rigoureuse, quel que soit le canal choisi.
Références