> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/help/help-center-fr/email-security/suspicious-emails.md).

# E-mails suspects

Email Security détecte les e-mails suspects ou malveillants dans vos boîtes aux lettres. Le SOC Stoïk examine chaque alerte : aucune action n'est requise de votre côté.

Il existe deux types de menaces par e-mail :

* **Fraude :** tentatives de fraude financière, comme une fraude à la facture ou l'usurpation de l'identité d'un contact connu.
* **Hameçonnage :** e-mails contenant un lien vers une page qui usurpe l'identité d'une marque connue afin de voler des identifiants.

## Tableau des alertes

Les alertes sont répertoriées dans `Email Security` > `E-mails suspects`. Chaque ligne affiche :

* **Objet :** l'objet de l'e-mail
* **Criticité :** Faible, moyenne, élevée ou critique
* **Utilisateur protégé :** la boîte aux lettres qui a reçu ou envoyé l'e-mail
* **Date de détection :** quand l'e-mail a été reçu
* **Statut :** Ouvert ou fermé
* **Validité :** Indéterminée, faux positif ou vrai positif
* **Actions :** Aucune, bannière et/ou mise en quarantaine

Cliquez sur une alerte pour ouvrir ses détails.

## Détails de l’alerte

### Informations

* **Date de détection** : quand l'e-mail a été reçu
* **Utilisateur protégé** : la boîte aux lettres qui a reçu ou envoyé l'e-mail
* **Trafic** : entrant ou sortant
* **Boîte aux lettres** : Microsoft 365 ou Google Workspace
* **Type** : Fraude ou Hameçonnage
* **Raisons** : pourquoi l'e-mail a été signalé (par exemple, usurpation d'utilisateur, informations bancaires suspectes)
* **Actions** : les actions menées par le SOC (par exemple, e-mail déplacé en quarantaine, bannière d'avertissement ajoutée). Voir [Actions de remédiation](/help/help-center-fr/email-security/remediation-actions.md).
* **Statut**: Ouverte ou Fermée
* **Validité** : vrai positif ou faux positif

{% hint style="info" %}
Les e-mails hautement suspects ne sont pas supprimés. Ils sont déplacés dans un `Stoïk Quarantine` dossier, créé automatiquement dans la boîte aux lettres lors de la première action de mise en quarantaine, afin qu'ils restent récupérables.
{% endhint %}

### Verdict

Une bannière colorée en haut résume l'évaluation. Sa couleur et son titre correspondent à la criticité et au type de l'alerte. Pour une alerte de fraude :

<table><thead><tr><th width="173.8203125">Criticité</th><th>Titre</th></tr></thead><tbody><tr><td>Critique</td><td>Tentative de fraude critique détectée</td></tr><tr><td>Élevée</td><td>Tentative de fraude à haut risque détectée</td></tr><tr><td>Moyenne</td><td>Activité suspecte détectée</td></tr><tr><td>Faible</td><td>Anomalies mineures détectées</td></tr></tbody></table>

Pour une alerte de hameçonnage, le titre affiche « hameçonnage » au lieu de « fraude » (par exemple, « Tentative de hameçonnage critique détectée »). Un bref résumé sous le titre fournit davantage de contexte.

### Attaquant

Fermé par défaut. Il affiche le nom de l'expéditeur, son domaine et son adresse e-mail.

### Contenu de l'e-mail

L'e-mail original, tel qu'il est arrivé dans la boîte de réception : expéditeurs, destinataires, objet, date d'envoi, la bannière d'avertissement ajoutée par le SOC le cas échéant, et le corps complet avec sa mise en forme, ses images et ses liens. Cliquez **Développer** pour le lire dans une fenêtre plus grande.

Les pièces jointes sont listées ci-dessous. Stoïk analyse les pièces jointes (comme les PDF) à la recherche d'indicateurs d'hameçonnage et de fraude, par exemple des liens ou des IBAN intégrés, mais ne les analyse pas à la recherche de logiciels malveillants. La protection contre les fichiers malveillants repose sur la solution de sécurité installée sur vos appareils.

## Chronologie des activités

La section Activité répertorie tout ce qui s'est produit sur l'alerte, le plus récent en premier.

### Traitement de l'alerte

<table><thead><tr><th width="210.82421875">Étape</th><th>Signification</th></tr></thead><tbody><tr><td>Création de l’alerte</td><td>Quand l'e-mail a été initialement reçu.</td></tr><tr><td>Confirmation de l’alerte</td><td>Quand l'alerte a été ingérée et confirmée dans le système Stoïk.</td></tr><tr><td>Traitement de l’alerte</td><td>Lorsqu’un analyste SOC a commencé à enquêter sur l’alerte.</td></tr><tr><td>Fermeture de l’alerte</td><td>Lorsque l’alerte a été résolue et fermée.</td></tr></tbody></table>

**Création de l’alerte** et **Confirmation de l’alerte** apparaissent toujours. **Traitement de l’alerte** et **Fermeture de l’alerte** apparaissent au fur et à mesure de l'évolution de l'alerte.

{% hint style="info" %}
Lors de la première activation d'Email Security, les e-mails reçus jusqu'à 90 jours avant l'activation sont analysés. Pour ces e-mails, l'écart entre **Création de l’alerte** et **Confirmation de l’alerte** peut être important. C'est normal.
{% endhint %}

### Vérifications des signaux

Chaque vérification affiche un point coloré : un problème a été trouvé, une anomalie a été détectée ou la vérification a réussi.

<table><thead><tr><th width="239.77734375">Vérification</th><th>Ce que cela fait</th></tr></thead><tbody><tr><td>Identité de l'expéditeur</td><td>Vérifie si l'expéditeur usurpe l'identité d'un contact connu de votre organisation.</td></tr><tr><td>Historique des communications</td><td>Vérifie si cet expéditeur a déjà communiqué avec votre organisation.</td></tr><tr><td>Réputation de l'expéditeur</td><td>Vérifie le domaine et l'adresse e-mail de l'expéditeur par rapport à des bases de données de menaces connues.</td></tr></tbody></table>

La description de chaque vérification reflète son résultat réel. Par exemple, `Réputation de l'expéditeur` indique « Le domaine ou l'adresse e-mail de l'expéditeur correspond à des bases de données de menaces connues. » lorsqu'elle est signalée, et « Le domaine et l'adresse e-mail de l'expéditeur n'ont pas été trouvés dans les bases de données de menaces connues. » lorsqu'elle est passée.

### Actions, notes et e-mails du SOC

* **Actions et mises à jour du SOC** : bannières d'avertissement, mises en quarantaine et changements de validité (par exemple, de **Indéterminée** à **Vrai positif**).
* **Notes de l’analyste** : contexte rédigé par le SOC Stoïk sur la manière dont l'alerte a été examinée, le cas échéant.
* **Échanges d'e-mails** : les e-mails échangés entre Stoïk et votre organisation au sujet de l'alerte.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.stoik.io/help/help-center-fr/email-security/suspicious-emails.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.