Résumé exécutif : L'IC3 du FBI a enregistré plus d'un million de plaintes et 20,8 milliards de dollars de pertes en 2025. Sur trois catégories de crimes qui exploitent la confiance accordée aux e-mails (BEC, phishing et usurpation d'identité gouvernementale), les pertes ont dépassé 4 milliards de dollars, soit une hausse de 46 % par rapport à 2024. L'IA rend chaque attaque plus difficile à détecter, et les propres recherches régionales de Red Sift montrent que la plupart des organisations américaines ne sont toujours pas protégées.
Points clés à retenir :
- Les pertes liées au BEC ont atteint 3,04 milliards de dollars, les pertes liées au phishing ont augmenté de 208 % d'une année sur l'autre, et l'usurpation d'identité gouvernementale a doublé pour atteindre 797,9 millions de dollars
- Combinée, la fraude d'origine e-mail représente environ 19 % de l'ensemble des pertes liées à la cybercriminalité signalées
- Les plaintes liées à l'IA ont dépassé 22 000, pour 893 millions de dollars de pertes associées
- L'étude de Red Sift sur la conformité DMARC a révélé que seulement 35 à 44 % des principales organisations du Nord-Est, du Mid-Atlantic et du Sud-Ouest des États-Unis ont atteint le stade d'application complète
L'Internet Crime Complaint Center du FBI a publié son rapport annuel 2025 la semaine dernière, marquant 25 ans de collecte de données sur la cybercriminalité. Le titre principal : plus d'un million de plaintes, 20,8 milliards de dollars de pertes, et une augmentation de 26 % d'une année sur l'autre.
La plupart des médias se concentreront sur la fraude à l'investissement (8,6 milliards de dollars) ou sur la cryptomonnaie (11,3 milliards de dollars). Ces chiffres sont réels. Mais ils peuvent détourner l'attention d'une tendance qui correspond directement à l'infrastructure des e-mails.
4 milliards de dollars de fraude d'origine e-mail
En additionnant le BEC (3,04 milliards de dollars), le phishing et le spoofing (215,8 millions de dollars), et l'usurpation d'identité gouvernementale (797,9 millions de dollars), on obtient plus de 4 milliards de dollars de pertes liées à des crimes qui exploitent la confiance accordée aux e-mails. Cela représente environ 19 % de l'ensemble des pertes signalées à l'IC3, provenant de types d'attaques que des protocoles d'authentification des e-mails comme DMARC (Domain-based Message Authentication, Reporting and Conformance) sont conçus pour prévenir.
Le BEC a de nouveau dépassé les 3 milliards de dollars. La tendance sur trois ans est éloquente : 2,94 Md$ (2023), 2,77 Md$ (2024), 3,04 Md$ (2025). La baisse de 2024 a été de courte durée. Les pertes moyennes par plainte dépassent 122 000 $, et 86 % des fonds liés au BEC transitent par virement bancaire ou ACH, ce qui signifie que ces attaques s'infiltrent au cœur de véritables processus financiers.
Les pertes liées au phishing ont augmenté de 208 % alors que le volume est resté stable. Le nombre de plaintes a à peine évolué (de 193 000 à 191 000), mais les pertes ont bondi de 70 millions de dollars à 215,8 millions de dollars. En prenant du recul sur deux ans, c'est une multiplication par 11 depuis 18,7 millions de dollars. Chaque attaque de phishing cause davantage de dégâts. L'idée selon laquelle le phishing serait à fort volume mais à faible valeur ne tient plus.
L'usurpation d'identité gouvernementale a presque doublé. Le nombre de plaintes est passé de 17 367 à 32 424, et les pertes ont bondi de 405,6 millions de dollars à 797,9 millions de dollars. Ces escroqueries usurpent les domaines et identités d'expéditeurs d'agences gouvernementales. Lorsqu'un domaine ne dispose pas de l'application DMARC en p=reject, les attaquants peuvent envoyer des e-mails qui paraissent légitimes aux yeux du destinataire.
L'IA rend chaque attaque plus efficace
L'IC3 a suivi l'IA en tant que descripteur de plainte de manière significative pour la première fois. Résultat : 22 364 plaintes et 893 millions de dollars de pertes. Dans les catégories spécifiques aux e-mails, la présence de l'IA s'accroît :
- BEC avec implication de l'IA : 30,2 millions de dollars
- Escroqueries à la confiance et sentimentales : 19 millions de dollars
- Phishing : 10,2 millions de dollars
- Usurpation d'identité gouvernementale : 7 millions de dollars
Le rapport décrit des techniques précises : des générateurs de chat IA rédigeant des e-mails qui reproduisent le style d'écriture d'un PDG, du clonage vocal fournissant une confirmation téléphonique correspondant à un expéditeur usurpé. Lorsque l'e-mail semble authentique et que la voix au téléphone correspond, la détection humaine échoue.
C'est bien là le problème. Former les employés à repérer des formulations maladroites n'a jamais constitué une défense complète. Lorsque l'IA élimine ces indices, les contrôles techniques deviennent la dernière ligne de défense fiable. DMARC, SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail) vérifient si un expéditeur est autorisé à utiliser un domaine. Peu importe à quel point l'e-mail paraît convaincant.
Les recherches de Red Sift révèlent que la majorité des organisations américaines ne sont toujours pas protégées
Les données de l'IC3 montrent l'ampleur du problème. Les propres recherches de Red Sift montrent quant à elles l'écart dans les défenses mises en place.
Au cours des deux derniers mois, Red Sift a analysé près de 2 000 domaines appartenant à de grandes organisations réparties sur trois régions américaines. Les résultats :
- Seulement 35 % des organisations du Nord-Est ont atteint l'application complète de DMARC dans sept États
- Seulement 44 % des organisations du Mid-Atlantic bloquent les e-mails usurpés au niveau du domaine
- Seulement 40 % des organisations du Sud-Ouest ont mis en œuvre p=reject
Cela signifie que la majorité des grandes organisations américaines restent exposées exactement aux types d'attaques à l'origine des 4 milliards de dollars de pertes signalées à l'IC3.
Que faire face à cela
L'équipe de récupération des actifs de l'IC3 a gelé 679 millions de dollars sur 3 900 incidents en 2025, avec un taux de réussite de 58 %. C'est significatif, mais il s'agit d'une récupération après coup. L'intervention la moins coûteuse a lieu avant que l'e-mail frauduleux n'arrive.
Vérifiez gratuitement le statut d'authentification des e-mails de votre domaine avec Red Sift Investigate pour connaître votre situation. Si vous n'avez pas encore atteint l'application DMARC, Red Sift OnDMARC permet aux organisations d'atteindre p=reject en 6 à 8 semaines grâce à une configuration automatisée de SPF et DKIM, une découverte dynamique des expéditeurs et une surveillance continue.
Un problème à 4 milliards de dollars qui progresse de 46 % par an et s'accélère avec l'IA n'est pas un problème qui se résout en attendant.
Jack leads content, PR, GEO, and email security research at Red Sift.