DMARC en Irlande : où en sont les plus grandes entreprises

Red Sift a analysé les enregistrements DMARC de 201 des plus grandes entreprises d'Irlande, réparties en deux groupes : 100 multinationales exerçant des activités importantes en Irlande, et 101 entreprises fondées en Irlande. Il s'agit d'un état des lieux de la position de chaque groupe sur le contrôle qui détermine si un e-mail usurpant votre domaine atteint sa cible ou est bloqué.

DMARC (Domain-based Message Authentication, Reporting and Conformance) est le protocole qui détermine ce qui arrive à un e-mail qui échoue aux contrôles d'authentification sur votre domaine. Configuré en mode d'application, un message usurpé prétendant provenir de votre entreprise est bloqué ou envoyé vers les spams avant d'atteindre le destinataire. Si le protocole est désactivé, ou configuré en simple surveillance, n'importe qui peut placer votre domaine dans le champ De, sans que vos clients aient de raison technique d'en douter.

Cette étude s'inscrit dans la continuité des analyses similaires menées par Red Sift sur d'autres marchés européens, notamment le FTSE 250 britannique, avec un taux d'application de 60,8 %, et le top 250 allemand, à 44,8 %. Sur tous les marchés que nous avons étudiés, l'adoption de DMARC est réelle et en hausse, et dans la plupart des cas, le travail est bien avancé sans être terminé.

• 63 des 100 multinationales opérant en Irlande (63 %) appliquent DMARC en mode p=reject, la politique qui bloque totalement les e-mails usurpés
• 40 des 101 entreprises fondées en Irlande (39,6 %) appliquent le mode p=reject, et 34 autres (33,7 %) se situent en p=quarantine, à un pas de l'application complète
• 74 des 101 entreprises fondées en Irlande (73,3 %) disposent déjà d'un déploiement DMARC actif, en mode quarantine ou reject
• Entre 4 500 et 6 000 entités irlandaises entreront dans le champ d'application une fois que l'Irlande aura achevé la transposition de NIS2, attendue pour la fin de 2026, et la plupart des entreprises de cette étude figurent sur cette liste
• La redirection de factures et l'usurpation d'identité de dirigeants, deux fraudes fondées sur l'usurpation d'e-mails, constituent les principales menaces de fraude pour les entreprises irlandaises, ce qui fait de DMARC un contrôle direct contre la manière dont les entreprises irlandaises sont réellement attaquées

Parmi les 100 multinationales exerçant des activités importantes en Irlande, 63 appliquent DMARC en mode p=reject. Voici la répartition complète.

La solidité de ce groupe reflète la nature de ces entreprises : des opérations mondiales dotées d'équipes de sécurité dédiées et de circuits de reporting remontant jusqu'au conseil d'administration. Beaucoup avaient déjà été poussées vers l'application par les exigences 2024 de Google et Yahoo concernant les expéditeurs en masse, par les règles de divulgation de la SEC, ou par les audits de sécurité de leurs propres clients. Au moment où une entreprise technologique ou pharmaceutique mondiale ouvre un bureau à Dublin, DMARC est généralement déjà en mode p=reject sur le domaine parent. L'authentification des e-mails est un contrôle mondial, et ces entreprises en ont apporté une version déjà finalisée.

Parmi les 101 entreprises fondées en Irlande, 40 appliquent DMARC en mode p=reject, et 34 autres se situent en p=quarantine. Voici la répartition complète.

Le chiffre d'application affiché en tête sous-estime l'ampleur du travail déjà accompli. En ajoutant les 40 entreprises en reject aux 34 en quarantine, ce sont 74 des 101 entreprises fondées en Irlande (73,3 %) qui disposent d'un déploiement DMARC actif. Ce sont les secteurs sur lesquels l'économie irlandaise s'est construite, de la banque aux matériaux de construction, en passant par l'agroalimentaire, l'aviation et les jeux d'argent, et la grande majorité d'entre elles ont déjà publié un enregistrement, traité leurs expéditeurs légitimes, et dépassé le stade de la simple surveillance.

Le tableau qui en résulte est clair et proche de son terme. 34 entreprises ne sont qu'à un changement de politique de la protection complète, et 27 ont encore la possibilité de commencer. La direction prise est la bonne, et les dernières étapes sont les plus simples.

Les 34 entreprises fondées en Irlande se situant en p=quarantine ont accompli la partie la plus difficile. Une politique de quarantaine envoie les e-mails suspects vers les spams plutôt que de les bloquer, elle offre donc déjà une protection réelle, et l'atteindre signifie qu'une entreprise a publié un enregistrement, authentifié ses expéditeurs, et volontairement dépassé le stade de la surveillance. L'étape restante, le passage à p=reject, consiste généralement à confirmer que les données de reporting sont propres et à renforcer la politique.

La plupart des entreprises en quarantaine peuvent atteindre l'application complète en quelques semaines, une fois que quelqu'un s'engage à prendre la décision de la finaliser. Pour les 27 entreprises en p=none ou sans enregistrement, le parcours est le parcours classique : publier un enregistrement, examiner les données de reporting pour identifier chaque expéditeur légitime, authentifier ces expéditeurs, puis renforcer la politique par étapes jusqu'à ce qu'il soit possible d'activer p=reject en toute sécurité.

Deux éléments font de cette année le moment pour les entreprises irlandaises de placer DMARC en tête de leurs priorités.

Le premier est réglementaire. L'Irlande a manqué l'échéance d'octobre 2024 fixée par l'UE pour transposer la directive NIS2, et le retard s'est aggravé depuis. La Commission européenne a envoyé une lettre de mise en demeure en novembre 2024, un avis motivé en mai 2025, et en juillet 2026 a saisi la Cour de justice de l'UE contre l'Irlande, demandant à la cour d'imposer des sanctions financières jusqu'à ce que la transposition soit achevée.

Le National Cyber Security Bill, le véhicule législatif irlandais pour NIS2, est encore en cours de rédaction. Le gouvernement prévoit de le publier à l'automne 2026, d'entamer ensuite son parcours devant l'Oireachtas, et de notifier Bruxelles de la transposition avant la fin de l'année. Une fois adopté, il élargira le nombre d'entités concernées, passant de quelques centaines sous les anciennes règles à un nombre estimé entre 4 500 et 6 000, avec le National Cyber Security Centre comme autorité compétente principale et une responsabilité personnelle pour les dirigeants qui ne parviendraient pas à superviser les risques cyber. La plupart des entreprises de cette étude entreront dans le champ d'application, et DMARC constitue un contrôle basique et documentable qui s'inscrit directement dans les obligations de gestion des risques introduites par NIS2.

Le second est la fraude, qui se produit déjà. La redirection de factures et l'usurpation d'identité de dirigeants sont les principales escroqueries visant les entreprises irlandaises, et les deux commencent par un e-mail qui semble provenir d'une partie de confiance. FraudSMART, l'initiative de sensibilisation menée par la Banking & Payments Federation Ireland, a rapporté que les PME irlandaises ont perdu plus de 17,4 millions d'euros à cause d'escroqueries liées aux e-mails sur deux ans, dont 15,7 millions d'euros de pertes dues à la redirection de factures entre janvier 2023 et décembre 2024, avec des pertes moyennes de 11 500 € par entreprise. Une étude de l'ISME et de la BPFI a révélé que 68 % des PME irlandaises avaient été visées par des escroqueries en une seule année.

Ces chiffres concernent les petites entreprises, mais le mécanisme touche directement les entreprises de cette étude. Lorsqu'une grande entreprise irlandaise applique DMARC, elle retire son propre nom de la boîte à outils des attaquants, protégeant ainsi ses clients, ses fournisseurs, et les petites entreprises de sa chaîne d'approvisionnement contre les e-mails usurpant son domaine.

Les entreprises qui bloquent sur DMARC ont tendance à le faire manuellement, en traquant les modifications DNS et en lisant des rapports bruts provenant de dizaines de services d'envoi. Celles qui aboutissent traitent le déploiement comme un processus géré, où les données des rapports guident chaque décision. Red Sift OnDMARC automatise ce processus, faisant passer un domaine de la surveillance à l'application en quelques semaines, en classifiant automatiquement les expéditeurs et en montrant précisément l'impact de chaque changement de politique avant de l'appliquer.

Pour les plus grandes entreprises d'Irlande, qu'elles soient locales ou internationales, la destination est la même : un domaine qui ne peut pas être utilisé pour les usurper.