L'email est le canal de communication le plus fiable pour la plupart des organisations, et c'est aussi le plus détourné. Les attaquants ne se contentent plus d'exploiter l'email. Ils enregistrent des domaines similaires, détournent des sous-domaines oubliés, créent de faux profils de dirigeants sur LinkedIn, et combinent ces trois techniques pour mener des attaques qui contournent totalement les contrôles techniques.
Dans notre dernier webinaire, Natalie Hays et Billy McKenna de Red Sift ont détaillé à quoi ressemble une véritable défense en 2026, depuis l'atteinte de l'application stricte DMARC jusqu'à la protection de votre marque sur tous les canaux réellement exploités par les attaquants.
Points clés à retenir
- 93 % des domaines dans le monde restent ouverts à l'usurpation car ils ne sont pas configurés en quarantaine ou en rejet
- Seulement 1 % des organisations de services financiers et d'assurance américaines étudiées utilisent tous les protocoles d'authentification email disponibles
- L'application stricte de DMARC bloque l'usurpation exacte de domaine, mais les attaquants se sont adaptés. Les domaines similaires, les détournements DNS et l'usurpation d'identité sur les réseaux sociaux nécessitent une défense plus large
- Un modèle de défense pratique se déroule par étapes : obtenir d'abord la visibilité, configurer les sources d'envoi, appliquer les politiques strictement, puis étendre à la surveillance des domaines similaires et des réseaux sociaux
L'email est le vecteur d'attaque numéro un, et ce n'est pas un hasard
Un email sur quatre envoyé en 2025 était malveillant ou indésirable, et il est facile de comprendre pourquoi. Les gens consultent constamment leur boîte de réception et ont tendance à faire confiance de manière réflexe aux informations qui s'y trouvent.
Lorsqu'un domaine n'est pas protégé, les attaquants peuvent créer quelque chose qui paraît totalement légitime. Pas une adresse Yahoo suspecte ou une faute d'orthographe évidente. Quelque chose qui passe l'examen rapide de quelqu'un qui a déjà reçu vos vrais emails auparavant. Ajoutez à cela le fait que les outils d'IA ont considérablement réduit le coût et l'effort nécessaires pour produire du contenu de phishing convaincant, et le volume comme la qualité des attaques augmentent tous les deux.
L'adoption progresse, mais pas l'application stricte
Il faut le reconnaître, les obligations réglementaires fonctionnent. Lorsque Google, Yahoo et Microsoft ont mis en place leurs exigences d'authentification, cela a considérablement fait progresser l'adoption de DMARC, passant d'à peine 8 millions de domaines signalés à environ 15 millions en 18 mois.
Mais posséder un enregistrement DMARC et avoir une politique DMARC qui produit réellement un effet sont deux choses différentes. 93 % des domaines dans le monde restent exploitables car ils ne sont pas configurés en p=quarantine ou p=reject. Un enregistrement configuré en p=none vous offre une visibilité par le biais des rapports, mais ne fait rien pour empêcher un attaquant d'usurper votre domaine.
Le secteur financier constitue un exemple révélateur. Dans une étude portant sur 1 385 organisations américaines de services financiers et d'assurance, seulement 1 % utilisent tous les protocoles d'authentification disponibles. Près de 500 ont atteint p=reject et considèrent que le travail est terminé. Ce n'est pas le cas. 549 autres sont en p=quarantine, ce qui ne les protège que partiellement. Et environ 28 % ont un SPF cassé ou d'autres erreurs de configuration fondamentales qui facilitent l'usurpation.
Il s'agit de banques, d'assureurs et de processeurs de paiement. Comme l'a formulé Billy : « S'ils ne prennent pas la sécurité de l'email au sérieux, prennent-ils le reste de leur sécurité au sérieux ? C'est vraiment un indicateur. »
Pourquoi DMARC seul ne suffit pas
L'application stricte vous protège contre l'usurpation exacte de domaine, mais les attaquants ne s'arrêtent pas là.
Faiblesses DNS et détournements de sous-domaines. Début 2024, SubdoMailing a montré à quel point il est facile d'exploiter des configurations DNS obsolètes. Les attaquants ont trouvé des domaines expirés qui apparaissaient encore dans les enregistrements SPF des organisations, ont enregistré ces domaines, et les ont utilisés pour envoyer des emails qui passaient techniquement les contrôles DMARC.
Domaines similaires. DMARC ne peut pas empêcher quelqu'un d'enregistrer un domaine mal orthographié et de créer un portail de phishing convaincant. 59 % des attaques de phishing utilisent des domaines similaires. Les variantes vont d'une correspondance exacte de marque dans un autre TLS, à votre nom de marque intégré dans un sous-domaine, jusqu'aux typosquats que la plupart des gens survolent sans les remarquer.
Usurpation d'identité sur les réseaux sociaux. D'après une analyse des 10 000 principaux sites web, près de 3 000 marques comptaient plus de 1,3 million de comptes de réseaux sociaux utilisant leur nom sur X, Instagram, Telegram et YouTube. Parmi ceux-ci, près de 9 500 comptes usurpaient activement l'identité de 1 700 marques en utilisant leurs logos officiels.
Ces trois vecteurs sont souvent utilisés ensemble : un faux profil LinkedIn de dirigeant établit la crédibilité, un message urgent pointe vers un domaine similaire, et la cible soumet ses identifiants. C'est tout ce qu'il faut à l'attaquant pour obtenir l'accès au compte et commencer à exécuter une compromission d'email professionnel (business email compromise).
Construire votre modèle de défense
Natalie a présenté une progression pratique pour les équipes à différents niveaux de départ.
Commencez par la visibilité. Configurez DMARC en p=none et obtenez une vue complète de tout ce qui envoie des emails en votre nom. Plateformes marketing, systèmes RH, outils financiers, services tiers. Cette étape n'affecte pas le flux de messagerie.
Configurez vos sources d'envoi. Assurez-vous que SPF et DKIM sont corrects pour toutes ces sources avant de passer à l'application stricte. Ignorer cette étape est la raison pour laquelle les mises en œuvre causent des dysfonctionnements.
Passez à l'application stricte. Une fois les sources d'envoi configurées, passez à p=quarantine, puis à p=reject. Une fois cela fait, vous commencerez à bloquer les emails usurpés.
Étendez au-delà de l'email. Cela signifie une surveillance continue du DNS pour détecter les enregistrements obsolètes avant que les attaquants ne le fassent, une détection proactive des domaines similaires, et une surveillance des réseaux sociaux pour repérer les faux profils de marque et de dirigeants.
Faites le premier pas
Si vous voulez savoir où en est votre domaine actuellement, effectuez une analyse gratuite avec Red Sift Radar Lite. Cela prend deux minutes et vous montre ce qui est configuré, ce qui manque, et où se trouvent les failles.
Prêt à aller plus loin ?
Natalie Hays is Senior Product Marketing Manager at Red Sift, where she drives go-to-market strategy and product positioning across the company's entire product portfolio.