Sans DMARC, l'e-mail est le maillon faible de la cybersécurité

L'absence de protection contre l'usurpation exacte d'identité constitue une faille dans le fonctionnement de l'infrastructure mondiale de messagerie, exposant chaque entreprise aux cybercriminels. DMARC est le protocole de sécurité qui protège votre e-mail, protège vos clients et améliore la délivrabilité de chaque e-mail que vous envoyez.

Lorsque nous avons créé Red Sift, nous voulions débloquer les données cachées dans chaque entreprise et aider les décideurs à faire de meilleurs choix à mesure qu'ils grandissent et s'adaptent à des conditions en constante évolution. Nous avons commencé par une intégration approfondie de la messagerie – simplement parce que c'est un réservoir de données que chaque personne dans chaque entreprise possède. Nous avons tous des milliers d'e-mails avec des listes de tâches, des contacts clients, des réunions et des pièces jointes que nous sommes censés examiner. C'est une vue consolidée extraordinaire de nos vies numériques.

Alors que nous construisions une plateforme pour transformer ces données en informations exploitables, nous savions que la sécurité serait une préoccupation majeure. Aucune entreprise ne souhaite donner à un programme tiers, même respectable, un accès à sa messagerie. Nous avons construit et contribué du code aux différentes bibliothèques de sécurité des e-mails existantes, mais nous avons rapidement rencontré un gros problème.

Il est tout à fait simple et très facile d'usurper efficacement l'identité de quelqu'un en ligne. Je ne parle pas d'un chat, ni du dark web. Avec seulement quelques lignes de code, il est possible de « falsifier » une adresse e-mail et d'envoyer un e-mail de phishing malveillant qui semble authentique. Jetez un œil ci-dessous.

Banco Popular n'a pas envoyé cet e-mail. C'est moi qui l'ai fait, à l'aide d'un outil que vous avez probablement installé sur votre ordinateur. À gauche, j'ai utilisé telnet (un programme simple qui existe depuis 1969 et qui est préinstallé sur tous les Mac, Linux, et la plupart des machines Windows), et j'ai simulé le protocole de messagerie, usurpant ainsi efficacement l'identité de quelqu'un d'autre – dans ce cas, l'une des plus grandes institutions financières d'Espagne.

Contrairement aux attaques de phishing classiques – ces e-mails qui semblent légitimes mais avec une adresse de réponse clairement suspecte (vous savez, « theocb@sgsfg.id », ou similaire) – l'adresse e-mail utilisée dans cette attaque semble tout à fait légitime (« customer-support@bancopopular.es »).

Avec un simple e-mail comme celui-ci, votre serveur de messagerie considérera que tout va bien et le laissera passer votre filtre anti-spam. Et si vous avez un compte à la Banco Popular, vous penserez probablement aussi qu'il est légitime !

Cette tactique fonctionne avec presque toutes les adresses e-mail, et de nombreux cybercriminels l'utilisent pour mener des attaques BEC. C'est le cas lorsqu'ils usurpent l'identité d'une personne importante au sein d'une entreprise, et hameçonnent les employés pour obtenir accès à de l'argent, des identifiants, et plus encore.

Que se passerait-il si vous receviez un e-mail comme celui ci-dessus de la part du président, du co-fondateur, ou de votre directeur général vous demandant de relire un document sur lequel il travaille ? Seriez-vous capable de dire s'il s'agit d'un faux s'il provenait d'une adresse e-mail légitime ?

Probablement pas, et vous cliqueriez probablement dessus. Pourquoi ne le feriez-vous pas ? Il porte même le nom et la photo de votre président – l'application Gmail sur iOS vous fait même la courtoisie de remplir la photo de profil Google+ pour vous encourager à agir.

Fait crucial et terrifiant, aucun compte n'a besoin d'être piraté ni aucun mot de passe volé pour usurper l'identité d'une entreprise. Je n'ai pas eu besoin d'aller sur le dark web pour trouver des exploits exotiques ou acheter des listes de serveurs de messagerie compromis. Pour réaliser l'exemple ci-dessus, tout ce dont j'avais besoin était telnet et un peu d'ingénierie sociale – rechercher le président ou les directeurs de l'entreprise sur LinkedIn pour obtenir leurs noms et titres de poste suffit.

Nous faisons tous confiance à nos fournisseurs de messagerie (Google, Microsoft, etc.) pour gérer efficacement la sécurité de nos identités de messagerie en ligne. Mais cette technique d'usurpation d'identité fait partie d'un problème profondément enraciné, résultant de la manière malheureuse dont le relais de messagerie fonctionne depuis les débuts d'Internet.

Vous avez peut-être investi dans des mesures de cybersécurité, mis en place une politique de mots de passe forts et moderne, des scanners de fichiers et des détecteurs de spam, et activé l'authentification à deux facteurs (2FA). Mais rien de tout cela ne fait de différence en matière d'usurpation d'identité. Tout cela peut être contourné en exploitant cette faiblesse omniprésente de l'e-mail, menant à d'autres compromissions à travers le reste de votre infrastructure de sécurité. C'est comme sécuriser sa maison avec les derniers systèmes d'alarme, puis laisser la porte d'entrée grande ouverte.

Ce n'est pas parce que cela fait partie du fonctionnement d'Internet que l'usurpation exacte d'identité est un problème insoluble. Si vous essayiez d'usurper une adresse e-mail Red Sift aujourd'hui, le serveur Gmail rejetterait activement votre session telnet et vous déconnecterait. Essentiellement, la porte d'entrée se refermerait sur vous et votre tentative d'usurpation du domaine serait déjouée. C'est parce que nous avons adopté DMARC et que nous l'avons configuré pour rejeter le trafic non autorisé. Et de plus en plus d'entreprises font de même.

DMARC est un protocole de sécurité de messagerie qui empêche quiconque d'usurper votre domaine pour envoyer des e-mails de phishing malveillants à vos clients, employés, partenaires et chaîne d'approvisionnement. Lorsque DMARC est entièrement mis en œuvre avec une politique de p=reject, il devient impossible pour quiconque d'usurper votre domaine de messagerie, et personne ne peut prétendre être quelqu'un d'autre au sein de votre entreprise. Vous n'avez donc pas à craindre que des pirates utilisent votre domaine de messagerie pour envoyer de faux e-mails à vos employés ou clients.

Le National Cyber Security Centre en parle continuellement, et un large éventail de gouvernements recommande également son utilisation. Pourtant, de nombreuses organisations dans le monde n'ont toujours pas adopté une politique DMARC de p=reject. Pourquoi ? Parce qu'activer DMARC pour rejeter activement le trafic non autorisé nécessite un certain savoir-faire, et sans les bons outils dotés d'IA, cela peut s'avérer une tâche complexe.

En utilisant la plateforme Red Sift, nous avons créé OnDMARC, le logiciel en tant que service (SaaS) qui agit comme un guide étape par étape pour toute personne souhaitant sécuriser sa messagerie en activant DMARC à p=reject. OnDMARC analyse automatiquement le trafic de messagerie sur votre domaine, puis vous indique comment configurer le protocole pour bloquer les pirates tout en laissant passer les e-mails légitimes.

OnDMARC élimine la complexité et les incertitudes liées à la mise en œuvre de DMARC. Vous ne voulez pas vous plonger dans l'art obscur des protocoles de sécurité des e-mails, vous voulez une solution simple au problème afin de pouvoir vous recentrer sur votre activité. Nous avons conçu OnDMARC avec cette vision en tête : c'est suffisamment simple pour que n'importe qui puisse le faire, même sans expérience en informatique.

Le temps moyen nécessaire aux clients d'OnDMARC pour atteindre p=reject est de 4 à 8 semaines, contre plusieurs mois auparavant.

La sécurité n'est pas le seul avantage d'OnDMARC. Vos e-mails ont-ils déjà été directement envoyés dans le dossier spam d'un client ? Votre newsletter a-t-elle un taux d'ouverture très faible ? C'est parce que la plupart des domaines de messagerie sont mal configurés, ce qui signifie que les e-mails qu'ils envoient dans le monde semblent un peu suspects aux autres domaines. Des e-mails légitimes peuvent rester bloqués parce qu'ils paraissent suspects — même s'il s'agit bel et bien de vous !

OnDMARC contribue grandement à résoudre ce problème. Il reconfigure vos paramètres, ce qui place les e-mails que vous envoyez au-dessus de tout soupçon et directement en haut des boîtes de réception de vos clients également. C'est un facilitateur d'activité qui vous empêche de gaspiller votre argent inutilement.

DMARC fonctionne mieux lorsque nous l'adoptons tous. Plus il y aura de domaines de messagerie et d'entreprises bénéficiant de cette protection, plus il sera difficile pour les pirates d'exploiter cette faille d'Internet.

C'est pourquoi, chez Red Sift, nous voulons nous assurer qu'il n'y a aucun obstacle à l'adoption. Nous tarifons notre produit en fonction du volume de vos e-mails et nous proposons également un essai gratuit. OnDMARC Basic est gratuit pour toutes les associations caritatives, avec une réduction de 50 % pour les forfaits plus importants. OnDMARC peut également être intégré à votre SSO ou à vos tableaux de bord opérationnels existants via notre API, nous avons donc pensé à tout.

OnDMARC protège votre messagerie contre l'exploitation, protège vos clients, ferme la porte d'entrée aux pirates, et améliore la délivrabilité de chaque e-mail que vous envoyez. Difficile de faire mieux. Pourquoi ne pas l'essayer avec un essai gratuit de 14 jours, et commencer à sécuriser la messagerie de votre entreprise dès aujourd'hui ?