Plus d'un quart des plus grandes organisations de New York toujours exposées à l'usurpation d'e-mails

• 72 domaines (72,7 %) ont atteint le niveau d'application de DMARC (p=reject), le taux le plus élevé jamais enregistré par Red Sift dans ses analyses des grandes villes américaines
• 15 domaines (15,2 %) se situent au niveau de quarantaine, où les e-mails usurpés sont signalés mais non bloqués
• 12 domaines (12,1 %) n'ont aucune protection DMARC efficace, avec une politique p=none ou aucun enregistrement du tout
• Les attaques BEC ont bondi de 37 % entre mai et juin 2025, et le FBI a signalé 2,77 milliards de dollars de pertes liées au BEC pour 2024

Les plus grandes organisations de New York sont en avance en matière de DMARC. C'est la bonne nouvelle. 72 des 99 domaines analysés (72,7 %) ont atteint le niveau p=reject, la politique qui bloque activement les e-mails usurpés avant qu'ils n'atteignent les boîtes de réception. Pour comparaison, la récente analyse de Red Sift portant sur les principales organisations de Boston révélait un taux d'application de seulement 50,5 %. Le taux de New York est nettement supérieur.

Mais être « en avance » ne signifie pas que le travail est terminé.

27 domaines appartenant aux plus grandes organisations de New York n'ont toujours pas atteint le niveau d'application. Cela représente plus d'un domaine sur quatre. Dans une ville où le domaine e-mail d'une seule organisation peut toucher chaque jour des milliers de clients, partenaires, fournisseurs et régulateurs, ces 27 failles ont un poids considérable.

Voici comment se répartissent les 27 domaines non protégés. 15 se situent au niveau p=quarantine, ce qui signifie que les e-mails usurpés sont signalés et redirigés vers les spams, mais ne sont pas totalement rejetés. Le message d'un attaquant peut donc toujours atteindre une personne qui consulte son dossier indésirable ou dont le filtre anti-spam est permissif. 11 domaines fonctionnent en p=none, ce qui permet de collecter des données d'authentification mais sans prendre aucune mesure contre les e-mails frauduleux. Et 1 domaine n'a aucun enregistrement DMARC.

Les organisations au niveau de quarantaine sont proches du but. Elles ont déjà posé les bases techniques. Passer de la quarantaine au rejet prend généralement 6 à 8 semaines avec les bons outils. Pour les 12 domaines sans protection réelle, l'exposition est bien réelle, mais la solution est simple.

New York n'est pas une ville comme les autres. C'est la capitale financière du monde, le siège des plus grandes entreprises médiatiques du pays, et le centre opérationnel d'entreprises mondiales dans tous les secteurs. Cette concentration de cibles à forte valeur rend la protection DMARC particulièrement importante ici.

Les banques, compagnies d'assurance et sociétés d'investissement de New York traitent des milliers de milliards de dollars de transactions qui débutent par un e-mail ou sont confirmées par ce biais. Les attaques BEC exploitent précisément cette réalité. L'IC3 du FBI a rapporté 2,77 milliards de dollars de pertes liées au BEC en 2024, avec près de 8,5 milliards de dollars perdus au total entre 2022 et 2024. Les entreprises de services financiers sont les plus ciblées, avec des pertes médianes d'environ 125 000 dollars par incident. Un seul domaine non protégé au sein d'une institution financière new-yorkaise peut devenir le point d'entrée d'une attaque par usurpation d'identité qui se propage à l'ensemble de sa clientèle.

Google, Yahoo et Microsoft exigent tous DMARC pour les expéditeurs d'e-mails en masse. Depuis fin 2025, Google émet des erreurs de rejet permanent (codes 550) pour les messages non conformes. Ces trois fournisseurs traitent plus de 80 % des e-mails dans le monde. Pour les organisations new-yorkaises qui envoient des mises à jour clients, des campagnes marketing, des factures ou des avis de conformité, une politique DMARC faible ne crée pas seulement une faille de sécurité. Elle crée aussi un problème de délivrabilité. Des e-mails qui arrivaient auparavant dans les boîtes de réception finissent désormais rejetés ou dans les spams.

La norme PCI DSS 4.0.1 exige DMARC pour les organisations traitant des données de cartes de paiement. NIS2 impose des exigences similaires dans toute l'UE, ce qui concerne toute entreprise new-yorkaise ayant des opérations ou des clients en Europe. Les assureurs cyber exigent de plus en plus l'application de DMARC comme condition de couverture, et certains excluent totalement les indemnisations liées au BEC pour les organisations qui ne respectent pas les normes d'authentification de base.

Les organisations new-yorkaises n'opèrent pas de manière isolée. Elles se trouvent au cœur de chaînes d'approvisionnement qui impliquent des milliers de fournisseurs, partenaires et clients. Lorsque le domaine d'une organisation peut être usurpé, chaque entreprise de son réseau est exposée. Un attaquant n'a pas besoin de compromettre vos systèmes. Il lui suffit d'envoyer un e-mail qui semble provenir de vous. Pour les 27 domaines new-yorkais sans application, l'exposition dépasse largement leurs propres murs.

Les plus grandes organisations de New York gèrent des environnements de messagerie complexes. Plusieurs domaines, des dizaines d'expéditeurs tiers, des opérations mondiales, et une activité de fusions-acquisitions en constante évolution qui modifie sans cesse le paysage des e-mails. Red Sift OnDMARC a été conçu précisément pour cela.

La mise en œuvre manuelle de DMARC prend en moyenne 32 semaines. Red Sift OnDMARC permet aux organisations d'atteindre le niveau p=reject en 6 à 8 semaines. Pour les 15 domaines new-yorkais actuellement en quarantaine, le passage à l'application pourrait être réalisé en quelques semaines seulement, et non en plusieurs trimestres.

Les entreprises new-yorkaises utilisent généralement une longue liste de services d'e-mail tiers : plateformes marketing, CRM, systèmes de facturation, outils RH, et bien plus encore. Chacun d'eux s'ajoute à l'enregistrement SPF, qui est soumis à une limite stricte de 10 recherches DNS. La technologie Dynamic SPF de Red Sift gère automatiquement cette contrainte, garantissant la validité de l'authentification à mesure que votre infrastructure d'envoi évolue.

OnDMARC transforme les rapports DMARC agrégés et forensiques bruts en un tableau de bord clair et exploitable. Les équipes de sécurité peuvent voir chaque service envoyant des e-mails au nom de leurs domaines, savoir s'il est autorisé, et vérifier s'il réussit l'authentification. Pour les organisations gérant des dizaines de domaines et sous-domaines, cette visibilité fait toute la différence entre deviner et savoir.

Atteindre le niveau p=reject n'est pas un projet ponctuel. De nouveaux services d'envoi sont ajoutés. Les acquisitions apportent de nouveaux domaines. Les configurations évoluent avec le temps. OnDMARC assure une surveillance continue afin que votre niveau d'application reste stable, même lorsque votre écosystème d'e-mails change.

Le taux d'application de 72,7 % à New York montre ce qui est possible. Pour les 27 organisations qui n'ont pas encore terminé cette démarche, la voie est claire et les outils existent pour y parvenir rapidement.