69 % des entreprises du Nord-Ouest des États-Unis vulnérables au phishing par e-mail

Red Sift a analysé 600 domaines appartenant aux plus grandes organisations de six États du Nord-Ouest, et a constaté que seulement 188 (31 %) ont atteint l'application complète du DMARC. Il s'agit du taux d'application régional le plus bas jamais enregistré par Red Sift aux États-Unis. Le Nord-Ouest assure une grande part de l'approvisionnement énergétique du pays, héberge deux de ses trois escadres de missiles nucléaires terrestres, et abrite certaines des plus grandes entreprises technologiques et aérospatiales au monde. Malgré cela, 69 % des principales organisations de la région ne bloquent pas les e-mails usurpés. D'autres études régionales menées par Red Sift portent sur le Nord-Est (35 %), le Mid-Atlantic (44 %), le Sud-Ouest (40 %), le Heartland (36 %) et les États du Centre-Nord (41 %).

• Seulement 188 des 600 domaines (31 %) répartis dans six États du Nord-Ouest ont atteint l'application du DMARC (p=reject), le taux le plus bas de toutes les régions américaines étudiées par Red Sift
• 182 domaines (30,3 %) appliquent des politiques p=none qui surveillent mais n'agissent pas contre les e-mails usurpés
• 136 domaines (22,7 %) se situent au niveau p=quarantine, proches d'une protection complète mais n'ayant pas finalisé le passage au rejet
• 94 domaines (15,7 %) n'ont aucun enregistrement DMARC publié, le taux d'absence d'enregistrement le plus élevé de toutes les régions de la série
• Washington arrive en tête avec 44 % d'application. Le Montana ferme la marche avec 25 %, le taux le plus bas jamais enregistré par Red Sift pour un seul État

Red Sift a analysé 100 domaines des principales organisations de chacun des six États du Nord-Ouest : Alaska, Idaho, Montana, Oregon, Washington et Wyoming. Les résultats montrent une région presque divisée en deux, où les pôles technologiques côtiers ont publié des enregistrements DMARC mais sont restés bloqués avant l'application, tandis que les États de l'intérieur comptent une grande proportion d'organisations de premier plan sans aucune authentification des e-mails.

Sur l'ensemble des 600 domaines, 31 % ont atteint le niveau p=reject, la politique DMARC qui bloque activement les e-mails usurpés. Cela place le Nord-Ouest derrière toutes les autres régions de la comparaison continue menée par Red Sift : le Nord-Est (35 %), le Heartland (36 %), le Sud-Ouest (40 %), le Centre-Nord (41 %) et le Mid-Atlantic (44 %).

La caractéristique déterminante de la région est l'écart entre ses deux moitiés. Washington et l'Oregon, qui abritent l'économie technologique et aérospatiale du Nord-Ouest, ont presque aucun domaine sans enregistrement du tout (5 % et 4 %). Les quatre États de l'intérieur racontent une tout autre histoire. Le Wyoming compte 30 % de ses principales organisations sans enregistrement DMARC, le Montana 23 %, et l'Idaho 19 %. Le taux d'absence d'enregistrement de 15,7 % du Nord-Ouest est le plus élevé de toutes les régions de la série, et cet écart provient presque entièrement des États de l'intérieur.

• Washington (44 % d'application) : Washington est en tête du Nord-Ouest avec 44 domaines au niveau p=reject, égalant le Mid-Atlantic pour le taux régional le plus élevé jamais enregistré par Red Sift en dehors de l'État de New York. L'État abrite Microsoft, Amazon, Boeing, Costco et Starbucks, ainsi que d'importants ports maritimes du Pacifique et une forte présence militaire à Joint Base Lewis-McChord et à la base navale de Kitsap. 28 domaines appliquent p=none, 23 sont au niveau p=quarantine, et seulement 5 n'ont aucun enregistrement. La forte concentration technologique et aérospatiale de l'État se reflète dans ce faible taux d'absence d'enregistrement, mais 56 % de ses principales organisations n'ont toujours pas atteint la protection complète.
• Oregon (36 % d'application) : L'Oregon compte 36 domaines au niveau p=reject et le taux d'absence d'enregistrement le plus bas de l'étude, à 4 %. L'État héberge le plus grand site de fabrication d'Intel, Nike, ainsi qu'un pôle de semi-conducteurs connu sous le nom de Silicon Forest, en plus d'une industrie forestière, agricole et viticole en pleine croissance. 34 domaines appliquent p=none, le nombre le plus élevé de l'étude pour cette catégorie, 26 sont au niveau p=quarantine, et 4 n'ont aucun enregistrement. Presque toutes les principales organisations de l'Oregon ont publié un enregistrement DMARC. Le problème est que 60 d'entre elles sont restées bloquées à none ou quarantine sans finaliser le passage au rejet.
• Idaho (29 % d'application) : L'Idaho compte 29 domaines au niveau p=reject. L'État abrite le siège de Micron Technology, une économie technologique et agricole en forte croissance, ainsi que l'Idaho National Laboratory, le principal laboratoire de recherche sur l'énergie nucléaire du Département de l'Énergie. 33 domaines appliquent p=none, 19 sont au niveau p=quarantine, et 19 n'ont aucun enregistrement. Pour un État hébergeant une installation nationale de recherche nucléaire, le fait que 19 % de ses principales organisations n'aient aucun enregistrement DMARC est un écart qu'il convient de combler.
• Alaska (28 % d'application) : L'Alaska compte 28 domaines au niveau p=reject et le nombre de domaines en quarantaine le plus élevé de l'étude, à 31. L'économie de l'État repose sur le pétrole et le gaz du North Slope, la pêche commerciale et le tourisme, avec une présence militaire stratégique à Joint Base Elmendorf-Richardson et le système de défense antimissile Ground-based Midcourse à Fort Greely. 28 domaines appliquent p=none, 31 sont au niveau p=quarantine, et 13 n'ont aucun enregistrement. Ces 31 domaines en quarantaine ont déjà accompli le plus dur du travail. Si l'Alaska les faisait passer au rejet, son taux d'application passerait de 28 % à 59 %.
• Wyoming (26 % d'application) : Le Wyoming compte 26 domaines au niveau p=reject et le taux d'absence d'enregistrement le plus élevé jamais enregistré par Red Sift, à 30 %. L'État le moins peuplé du pays est le plus grand producteur de charbon, un important producteur de pétrole, de gaz et d'uranium, et abrite la base aérienne F.E. Warren, qui exploite l'une des trois escadres de missiles nucléaires Minuteman III du pays. 27 domaines appliquent p=none, 17 sont au niveau p=quarantine, et 30 n'ont aucun enregistrement. Un État qui héberge une escadre de missiles balistiques nucléaires intercontinentaux et alimente une grande part du réseau électrique national ne devrait pas avoir 30 % de ses principales organisations totalement dépourvues d'enregistrement DMARC.
• Montana (25 % d'application) : Le Montana occupe la dernière place avec 25 domaines au niveau p=reject, le taux d'application le plus bas jamais enregistré par Red Sift pour un seul État sur l'ensemble de la série. L'économie de l'État s'appuie sur l'agriculture, l'énergie et le tourisme, et il abrite la base aérienne de Malmstrom, qui héberge une autre des trois escadres de missiles nucléaires Minuteman III du pays. 32 domaines appliquent p=none, 20 sont au niveau p=quarantine, et 23 n'ont aucun enregistrement. Le Montana et le Wyoming abritent ensemble deux des trois escadres de dissuasion nucléaire terrestre des États-Unis, et détiennent les deux taux d'application les plus bas de la région.

Les moyennes cachent la véritable histoire. Divisez les six États selon leur géographie, et le schéma devient difficile à ignorer.

Washington et l'Oregon, les États côtiers du Pacifique qui abritent l'économie technologique et aérospatiale de la région, ont publié des enregistrements DMARC de manière presque universelle. À eux deux, seulement 9 domaines sur 200 n'ont aucun enregistrement. Leur problème réside dans le dernier kilomètre : 28 % et 34 % respectivement sont bloqués au niveau p=none, observant les e-mails usurpés arriver dans leurs rapports sans en bloquer aucun.

Les quatre États de l'intérieur posent un problème totalement différent. L'Idaho, le Wyoming, le Montana et l'Alaska représentent 85 des 94 domaines sans enregistrement de la région. Le Wyoming et le Montana à eux seuls en totalisent 53. Ce sont des États dotés d'infrastructures d'armes nucléaires, d'une production énergétique nationale et d'un important laboratoire de recherche fédéral, et un quart à un tiers de leurs principales organisations n'ont pris aucune mesure d'authentification des e-mails.

Deux régions, deux solutions différentes. Les États côtiers doivent achever un projet déjà entamé. Les États de l'intérieur doivent en commencer un.

Les 136 organisations situées au niveau p=quarantine sont proches du but. Elles ont réalisé le travail DNS, identifié leurs expéditeurs, et configuré SPF et DKIM. Le passage de quarantine à reject prend généralement 6 à 8 semaines. Ce sont 136 domaines pour lesquels un projet court permettrait d'achever un travail déjà en grande partie accompli.

L'Alaska se distingue avec 31 domaines en quarantaine, le nombre le plus élevé pour un seul État dans l'étude, suivi de l'Oregon avec 26. Si ces organisations passaient au rejet, l'Alaska atteindrait 59 % d'application et l'Oregon 62 %. L'infrastructure est en place. Il ne manque que la dernière modification de politique.

Le Nord-Ouest repose sur des secteurs où un e-mail usurpé peut déclencher une fraude électronique, intercepter une transaction énergétique, perturber une chaîne d'approvisionnement aérospatiale, ou cibler une installation de défense. La répartition de la région sur six États et plusieurs secteurs critiques rend le risque étendu et les enjeux élevés.

Les champs pétroliers du North Slope en Alaska, le charbon et le gaz naturel du Wyoming, la production énergétique du Montana, et le laboratoire de recherche nucléaire de l'Idaho font du Nord-Ouest un pôle énergétique national. Le négoce d'énergie, les paiements de redevances, les contrats de pipelines et les factures fournisseurs transitent tous par e-mail, souvent pour des montants à six ou sept chiffres. L'IC3 du FBI a enregistré 3,04 milliards de dollars de pertes liées à la compromission d'e-mails professionnels (BEC) en 2025, dont 86 % de ces fonds ont transité par virement bancaire ou ACH. Un e-mail usurpé ciblant un paiement de redevance ou un contrat avec un fournisseur de pipeline peut détourner des sommes considérables avant que quiconque ne s'en aperçoive. Les États de l'intérieur, qui produisent l'essentiel de cette énergie, sont aussi ceux dont la posture DMARC est la plus faible, ce qui place l'exposition précisément là où circule l'argent.

Washington et l'Oregon abritent certaines des plus grandes entreprises technologiques et aérospatiales au monde, ainsi que les fournisseurs, sous-traitants et partenaires de recherche qui gravitent autour d'elles. La chaîne d'approvisionnement aérospatiale de Boeing, les réseaux de fabrication de semi-conducteurs autour d'Intel et Micron, et les géants du cloud et des logiciels basés à Seattle dépendent tous de l'e-mail pour les bons de commande, les spécifications de conception et les instructions de paiement. Ce sont précisément les marques que les attaquants cherchent le plus à usurper. Les 62 domaines de Washington et de l'Oregon situés au niveau p=none disposent des rapports DMARC montrant en temps réel les tentatives d'usurpation dont ils font l'objet. Ils n'agissent tout simplement pas sur ces données.

L'industrie de la pomme de terre et des produits laitiers de l'Idaho, la production de blé et de bétail du Montana, les secteurs de la pomme et du vin de Washington, et les exportations agricoles de l'Oregon relient un réseau de producteurs, transformateurs, distributeurs et fournisseurs qui fonctionne grâce à l'e-mail. Les contrats de matières premières, les confirmations d'expédition et les instructions de paiement transitent quotidiennement par les boîtes de réception. Un domaine usurpé ciblant un silo à grains, une coopérative laitière ou un distributeur alimentaire peut détourner des paiements ou injecter des instructions frauduleuses dans la chaîne d'approvisionnement. Les 182 domaines du Nord-Ouest au niveau p=none observent ce phénomène dans leurs rapports sans en bloquer aucun.

C'est là que les chiffres du Nord-Ouest sont les plus difficiles à défendre. La base aérienne F.E. Warren du Wyoming et la base aérienne de Malmstrom du Montana exploitent deux des trois escadres de missiles nucléaires Minuteman III du pays. L'Alaska abrite Joint Base Elmendorf-Richardson et le système de défense antimissile Ground-based Midcourse à Fort Greely, un élément essentiel de la défense antimissile du territoire américain. L'Idaho National Laboratory dirige la recherche fédérale sur l'énergie nucléaire. Les sous-traitants de la défense, les partenaires de recherche et les agences fédérales opérant dans ces États envoient des e-mails liés aux achats, à la logistique et à des programmes sensibles. Les taux d'application de 25 % pour le Montana et de 26 % pour le Wyoming, combinés à des taux d'absence d'enregistrement de 23 % et 30 %, comptent parmi les plus bas jamais enregistrés par Red Sift, et concernent des États où un domaine usurpé ciblant la chaîne d'approvisionnement de la défense ne relève pas d'une simple tentative de phishing. C'est un risque pour la sécurité nationale.

Google et Yahoo ont commencé à exiger le DMARC pour les expéditeurs en masse en février 2024. Microsoft a suivi en mai 2025 avec sa propre application pour les expéditeurs à fort volume vers les adresses Outlook, Hotmail et Live.com. Les messages non conformes sont désormais purement et simplement rejetés. Pour les organisations du Nord-Ouest envoyant des factures énergétiques, des bons de commande aérospatiaux, des confirmations agricoles ou de la correspondance financière, une politique DMARC manquante ou faible signifie que ces messages risquent de ne jamais arriver. Les 94 domaines sans aucun enregistrement DMARC sont les plus exposés, mais les 182 au niveau p=none sont également à risque à mesure que l'application se renforce chez tous les grands fournisseurs de messagerie.

La norme PCI DSS 4.0.1 impose le DMARC aux organisations traitant des données de cartes de paiement, ce qui concerne le commerce de détail, les services financiers et les entreprises énergétiques dans toute la région. NIS2 s'applique à toute entreprise du Nord-Ouest ayant des activités ou des clients dans l'UE. Les assureurs cyber renforcent leurs exigences, certains excluant désormais les indemnisations pour BEC des organisations dépourvues d'authentification e-mail de base. Pour les sous-traitants de la défense au Wyoming, au Montana et en Alaska, les référentiels CMMC et NIST recommandent déjà le DMARC comme contrôle de base. Le faible taux d'application de la région n'indique pas que ces pressions ne s'appliquent pas. Cela montre plutôt qu'un grand nombre d'organisations n'ont pas encore agi en conséquence.

Les organisations du Nord-Ouest font face à un ensemble de pressions : fraude sur les transactions énergétiques, ciblage de la chaîne d'approvisionnement aérospatiale et des semi-conducteurs, complexité agricole, et sécurité des installations de défense. Red Sift OnDMARC a été conçu pour répondre à cette complexité.

• Application en 6 à 8 semaines : Les projets DMARC manuels prennent en moyenne environ 32 semaines. OnDMARC réduit ce délai à 6 à 8 semaines en automatisant l'identification des sources, la configuration SPF et DKIM, et les vérifications de préparation à l'application. Pour les 136 organisations du Nord-Ouest actuellement au niveau p=quarantine, l'étape finale vers le rejet pourrait se mesurer en semaines, et non en mois.
• SPF dynamique pour des listes d'expéditeurs complexes : Les organisations du Nord-Ouest ont généralement de longues listes d'expéditeurs d'e-mails autorisés : plateformes de négoce d'énergie, systèmes ERP aérospatiaux, outils de logistique agricole, systèmes financiers et plateformes marketing. Les enregistrements SPF sont limités à 10 recherches DNS, une limite que les organisations complexes dépassent rapidement. Le SPF dynamique de Red Sift gère cela automatiquement, garantissant la validité de l'authentification sans gestion manuelle des enregistrements.
• Rapports clairs pour chaque domaine : OnDMARC convertit les rapports DMARC agrégés et forensiques bruts en un tableau de bord qui affiche chaque service envoyant des e-mails au nom de vos domaines. Les équipes sécurité et conformité disposent d'une visibilité immédiate sur ce qui est autorisé, ce qui échoue à l'authentification, et ce qui doit être corrigé. Aucune analyse XML. Aucune approximation.
• Surveillance continue pour les secteurs réglementés : Les organisations des secteurs de l'énergie, de l'aérospatiale, de la défense, des services financiers et de l'agriculture font toutes face à des exigences d'audit et de conformité continues. OnDMARC assure une surveillance et des alertes en continu, afin que l'application reste effective même lorsque de nouveaux expéditeurs sont ajoutés, que des domaines changent de propriétaire, ou que l'infrastructure évolue à la suite de fusions et acquisitions.

Avec un taux d'application de 31 %, le Nord-Ouest est la région la moins bien notée jamais étudiée par Red Sift, derrière le Nord-Est (35 %) et le Heartland (36 %). Les 44 % de Washington montrent que la démarche fonctionne. Les 25 % du Montana montrent le chemin qu'il reste à parcourir pour certains États. Les États côtiers doivent achever ce qu'ils ont commencé, et les États de l'intérieur doivent s'y mettre. Pour les 412 organisations qui n'ont pas encore atteint l'application complète, Red Sift OnDMARC peut combler l'écart entre l'exposition au risque de la région et sa posture actuelle de sécurité des e-mails.