41 % des principales entreprises Fintech sont vulnérables au phishing par email

Le phishing reste l'un des principaux facteurs de violations de données et de fraude. Les services financiers constituent une cible de choix car l'email permet de transférer de l'argent, de réinitialiser des mots de passe et de confirmer une identité. Le rapport 2025 sur les enquêtes relatives aux violations de données de Verizon classe à nouveau l'ingénierie sociale et le phishing parmi les vecteurs d'incidents les plus courants. Une étude menée par Red Sift a d'ailleurs souligné précédemment l'écart croissant dans le secteur bancaire commercial américain, où plus de 50 % restent vulnérables aux tentatives de spoofing.

Les cybercriminels utilisent désormais des outils d'IA pour rédiger des appâts plus convaincants, localiser le langage et personnaliser leurs attaques à grande échelle. Microsoft et plusieurs rapports du secteur montrent que les attaquants utilisent l'IA pour améliorer le taux de réussite du phishing, et pas seulement le volume, en parallèle d'une hausse des usurpations de marque. L'ingénierie sociale devient rapidement la méthode d'attaque privilégiée de nombreux acteurs malveillants, car le maillon humain reste le point faible de la plupart des entreprises.

Le coût est bien réel. Le FBI rapporte des pertes mondiales déclarées liées à la compromission des emails professionnels se chiffrant en dizaines de milliards de dollars, avec une croissance continue d'année en année. Le détournement de paiements et la fraude à la facture restent des pratiques courantes.

Sur 269 des principales entreprises Fintech :

En application (enforcement) : 159 (59,1 %)

• p=reject : 70 (26,0 %)
• p=quarantine* : 89 (33,1 %)

*une certaine protection, mais pas la forme d'application la plus stricte, obtenue avec p=reject

Non protégées : 110 (40,9 %)

• p=none : 66 (24,5 %)
• aucun enregistrement DMARC : 44 (16,4 %)

Si vous n'êtes pas protégé, n'importe qui peut envoyer des emails « vérifiez un débit », « mettez à jour vos informations bancaires » ou « réinitialisez votre mot de passe » qui semblent provenir de votre domaine. C'est une voie directe vers la prise de contrôle de compte, la fraude au paiement et la divulgation de données. Les rapports du secteur financier de FS-ISAC et de l'ENISA soulignent que le phishing et l'ingénierie sociale demeurent des risques persistants et à fort impact pour les banques, les acteurs du paiement et les entreprises Fintech.

• Prise de contrôle de compte : les utilisateurs transmettent leurs identifiants après une « alerte de fraude » convaincante. L'attaquant vide les fonds et configure des règles de messagerie pour masquer les avertissements. C'est un schéma courant dans les cas de BEC et de fraude aux consommateurs.
• Détournement de paiements : des factures falsifiées ou des mises à jour de versement modifient les comptes de destination. Les pertes sont souvent irrécupérables.
• Érosion de la confiance : des tentatives de spoofing répétées habituent les clients à ignorer les véritables alertes. Les études sectorielles alertent sur les fraudes en aval et les atteintes à la réputation qui en découlent.

• De nombreux expéditeurs légitimes : les PSP, les plateformes marketing, la billetterie, les outils de support et les systèmes produits envoient tous des emails « en votre nom ». Plus il y a d'expéditeurs, plus il y a de failles potentielles. FS-ISAC souligne la convergence croissante entre cybercriminalité et fraude dans le secteur financier.
• Des sollicitations à forte valeur : les relevés, rétrofacturations, versements et emails de MFA sont urgents et faciles à imiter. Le panorama financier de l'ENISA les identifie comme des appâts de phishing courants.
• Des appâts améliorés grâce à l'IA : plusieurs rapports montrent que les attaquants utilisent l'IA pour créer des emails fluides et ciblés qui contournent les vérifications basiques des utilisateurs.

• SPF répertorie les hôtes d'envoi autorisés pour votre domaine.
• DKIM signe les messages afin que les destinataires puissent vérifier qu'ils n'ont pas été altérés.
• DMARC indique aux destinataires quoi faire lorsque SPF ou DKIM échouent, et aligne l'identité avec le domaine visible dans le champ « De ». La norme DMARC est définie dans le RFC 7489 et recommandée par la CISA pour la défense contre le phishing.

Passer en « p=reject » (application) bloque le spoofing direct de domaine avant que les messages n'atteignent les boîtes de réception. Cela réduit les phishing réussis, diminue le risque de BEC et protège les clients lors de flux à haut risque tels que les réinitialisations de mot de passe et les alertes de paiement. Les recommandations de la CISA insistent sur le fait qu'une gouvernance claire et un déploiement progressif répondent aux principales préoccupations liées au « risque de casser la messagerie ».

Lancez-vous dès aujourd'hui dans votre parcours DMARC avec Red Sift OnDMARC.

Activez la visibilité :

• Publiez un enregistrement DMARC sur chaque domaine et acheminez les rapports vers une boîte de réception ou une plateforme surveillée. Commencez par une politique de surveillance (p=none) afin de voir qui envoie des emails en votre nom. Utilisez les rapports agrégés DMARC de Microsoft pour obtenir des détails supplémentaires sur les expéditeurs si vous utilisez M365.

Cartographiez tous les expéditeurs :

• À partir de vos rapports, dressez la liste des emails produit, des plateformes marketing, des PSP, des outils de support et de toute source inconnue. Regroupez-les par fournisseur et par responsable.

Corrigez l'authentification

• SPF : restez dans les limites de recherche DNS ; si vous les atteignez, utilisez le SPF dynamique/hébergé pour simplifier la maintenance.
• DKIM : activez la signature pour chaque expéditeur et alignez-la avec le domaine visible dans le champ « De ». Le guide d'implémentation couvre les vérifications d'alignement et les corrections courantes.

Passez à l'application par étapes, flux par flux :

• Faites passer les flux à faible risque ou bien configurés en p=quarantine, surveillez les rebonds ou les écarts, puis progressez vers p=reject. Un déploiement par étapes est recommandé pour éviter toute interruption de la messagerie. À noter : les expéditeurs en masse, y compris Google, Yahoo et Microsoft, exigent désormais DMARC au minimum en p=none.

Prouvez et maintenez

• Suivez : les emails usurpés bloqués, les expéditeurs inconnus éliminés, le % de trafic aligné et le temps nécessaire pour atteindre l'application.
• Continuez à surveiller. DMARC n'est pas une opération « à configurer une fois pour toutes » : les fournisseurs changent de clés et d'itinéraires. Un reporting continu évite les dérives susceptibles de compromettre la délivrabilité, même après avoir atteint l'application.

Pour les entreprises Fintech souhaitant assurer la sécurité de leurs clients, l'application de DMARC en p=reject constitue la première étape concrète vers une stratégie de cybersécurité mature et à grande échelle. À partir de là, le chemin vers une protection renforcée tient en 6 étapes simples.

Aujourd'hui, la discussion devrait porter sur la prévention plutôt que sur le coût. Car demain pourrait apporter des questions sur les dommages durables d'une attaque et sur la manière dont ils auraient pu être atténués.