Plus de 50 % des banques américaines restent vulnérables aux attaques de phishing

Résumé exécutif : Plus de la moitié des grandes banques américaines restent exposées aux attaques de phishing en raison d'une application faible ou inexistante de DMARC, malgré l'augmentation des pertes liées à la cybercriminalité et la sophistication croissante des menaces par e-mail. Les défis opérationnels, les lacunes réglementaires et la sous-estimation des risques freinent le renforcement des protections, mettant en péril la confiance des clients et la stabilité financière.

Points clés à retenir

• Moins de la moitié des grandes banques américaines appliquent des politiques DMARC strictes (p=reject), laissant leurs domaines exposés à l'usurpation et au phishing, tandis que près d'un tiers se contentent d'une surveillance passive sans bloquer les e-mails malveillants.
• Les institutions financières sont les cibles privilégiées du phishing, représentant plus de 50 % de toutes les attaques de phishing dans le monde, avec des attaques de plus en plus nombreuses et sophistiquées en raison de l'IA générative et de l'augmentation des risques liés aux tiers.
• Les difficultés opérationnelles, l'ambiguïté réglementaire et l'aversion au risque sont les principales raisons pour lesquelles les banques retardent l'application de DMARC, malgré son efficacité prouvée pour prévenir la fraude par e-mail et protéger la confiance des clients.

L'e-mail reste le principal outil du secteur financier, et les acteurs malveillants le savent bien. En 2024, l'Internet Crime Complaint Center (IC3) du FBI a comptabilisé 16,6 milliards de dollars de pertes liées à la cybercriminalité, soit une augmentation de 33 % par rapport à l'année précédente. La compromission de messagerie professionnelle (BEC)—où les attaquants usurpent l'identité d'institutions de confiance par e-mail—a généré 21 489 plaintes et 2,9 milliards de dollars de dommages, en faisant le deuxième cybercrime le plus coûteux recensé par le Bureau.

Les chiffres du début 2025 suggèrent que la tendance s'aggrave : selon le Verizon Data Breach Investigations Report 2025, sur plus de 22 000 incidents et 12 195 violations confirmées analysés, l'abus d'identifiants et l'ingénierie sociale figuraient parmi les principaux vecteurs d'accès. L'implication de tiers a doublé pour atteindre 30 % des violations, soulignant le risque lié à la chaîne d'approvisionnement pour les banques.

Le phishing continue de grimper en flèche. L'Anti-Phishing Working Group a enregistré 989 123 attaques au quatrième trimestre 2024, le volume trimestriel le plus élevé jamais atteint. L'IA générative n'a fait qu'aiguiser la menace : des messages soignés et sans fautes générés par de grands modèles de langage effacent les signes révélateurs que les consommateurs avaient appris à repérer.

Au-delà de la fraude directe, les conséquences d'une violation sont sévères. L'étude IBM 2024 sur le coût d'une violation de données estime l'incident moyen dans le secteur financier à 6 millions de dollars, bien au-dessus de la moyenne tous secteurs confondus. Ajoutez à cela les amendes réglementaires, les jours de trading perdus et l'atteinte à la réputation, et il devient évident : chaque e-mail usurpé représente un risque matériel pour les résultats et la confiance des clients.

Pour évaluer le niveau de préparation du secteur, les analystes de Red Sift ont examiné les données DMARC (Domain-based Message Authentication, Reporting & Conformance) des 510 plus grandes banques commerciales américaines. Les résultats sont préoccupants :

• 210 banques (41,2 %) appliquent p=reject, ce qui signifie que les messages frauduleux sont bloqués d'emblée.
• 96 (18,8 %) se situent à p=quarantine, plaçant les e-mails douteux dans les spams.
• 144 (28,2 %) collectent des rapports à p=none mais délivrent tout de même les usurpations potentielles.
• 60 (11,8 %) ne publient aucun enregistrement DMARC.

En résumé : moins de la moitié des plus grandes banques américaines protègent activement leurs domaines, et près d'un tiers se contentent encore d'une surveillance passive, laissant les messages usurpés atteindre les boîtes de réception.

La réalité n'est pas un manque de connaissance de DMARC ; c'est la complexité opérationnelle et l'aversion au risque. Les banques jonglent avec des centaines d'expéditeurs tiers légitimes—des plateformes marketing aux systèmes de prêts hypothécaires—et craignent qu'une politique mal configurée ne bloque des services critiques comme la paie, les documents de prêt ou les relevés clients.

À cela s'ajoute un manque de visibilité. De nombreuses équipes de sécurité opèrent sans vue consolidée de l'activité d'envoi d'e-mails. Avec des ressources limitées, elles adoptent par défaut p=none, espérant que les attaquants ne remarqueront pas que leur domaine est facile à usurper.

Elles font également face à une ambiguïté réglementaire : bien que des organismes comme le NIST et la FFIEC recommandent DMARC et d'autres normes d'authentification, aucune réglementation bancaire américaine formelle n'impose une application complète. En comparaison, les agences fédérales américaines sont tenues d'appliquer p=reject depuis 2017 en vertu de la directive opérationnelle contraignante 18-01 du DHS. Sans mandats sectoriels similaires, de nombreuses banques ont relégué l'application au second plan.

Enfin, beaucoup sous-estiment la menace. Malgré la montée du phishing sophistiqué alimenté par l'IA, certains responsables de la sécurité pensent que SPF et DKIM suffisent ou supposent que les clients reconnaîtront les faux—ignorant la recrudescence des attaques d'usurpation contre des marques comme Bank of America, qui a connu une explosion de textos et d'appels usurpés en 2024 et 2025.

Les banques commerciales américaines sont des cibles privilégiées pour les attaques de phishing et de BEC, ce qui rend la protection du domaine non pas optionnelle, mais essentielle. La mise en œuvre de DMARC avec une application à p=reject stoppe l'utilisation non autorisée de votre domaine, coupant court aux tentatives d'usurpation avant qu'elles n'atteignent vos clients.

Mais le chemin peut être difficile. Sans les bons outils, analyser les rapports DMARC et identifier les expéditeurs légitimes prend beaucoup de temps. C'est pourquoi des solutions comme Red Sift OnDMARC sont essentielles. OnDMARC automatise l'analyse des données d'authentification, offre des conseils clairs pour une application sécurisée des politiques, et aide les institutions à résoudre les problèmes avant qu'ils ne perturbent les opérations. Avec une prise en charge native de SPF, DKIM, du reporting TLS, et de MTA-STS, la plateforme élimine les incertitudes et accélère l'adoption sécurisée.

Vérifiez votre statut DMARC en 30 secondes

Vous ne savez pas quel est votre enregistrement DMARC actuel ? Vérifiez gratuitement maintenant.

Le paysage des menaces liées à l'e-mail évolue rapidement. Avec des attaques de phishing, d'usurpation et de BEC toujours plus sophistiquées, les banques ne peuvent plus se permettre de retarder leur mise en application. Avec le bon partenaire DMARC, les institutions peuvent :

• Bloquer les e-mails usurpés à la source
• Protéger les clients et partenaires
• Préserver la confiance dans la marque
• Répondre aux attentes réglementaires croissantes
• Réduire le risque de violations coûteuses et dévastatrices pour la réputation

Pour vous aider à évaluer votre statut DMARC actuel—ou à choisir un partenaire pour vous accompagner vers l'application—commencez par ce guide. Car dans l'environnement de menaces actuel, une politique « p=none » est une invitation ouverte aux attaquants.