Plus de 40 % des entreprises de services essentiels restent vulnérables au phishing

Une nouvelle analyse menée par Red Sift auprès de 840 entreprises des secteurs de la chimie, de l'énergie et de l'eau et des déchets révèle un écart préoccupant dans l'adoption de la sécurité des e-mails, 42 % d'entre elles restant non protégées face aux menaces sophistiquées par e-mail.

Alors que les fournisseurs d'infrastructures critiques subissent une pression croissante de la part des régulateurs et font face à des cybermenaces de plus en plus sophistiquées, les données montrent que de nombreuses entreprises de services essentiels n'ont pas encore mis en œuvre les protocoles de base d'authentification des e-mails susceptibles de prévenir des attaques dévastatrices.

Notre analyse a examiné 840 entreprises réparties dans trois secteurs vitaux, en évaluant leur mise en œuvre de DMARC (Domain-based Message Authentication, Reporting, and Conformance), un protocole fondamental d'authentification des e-mails qui empêche l'usurpation de domaine et les attaques de phishing.

Les résultats révèlent que si 58 % des entreprises ont atteint l'application de DMARC (politiques p=reject ou p=quarantine), 42 % restent non protégées, soit sans politique en place, soit avec des configurations de surveillance uniquement.

Statistiques globales :

• 112 entreprises (13 %) n'ont aucune politique DMARC
• 244 entreprises (29 %) sont en mode surveillance (p=none)
• 198 entreprises (24 %) ont mis en place des politiques de mise en quarantaine
• 286 entreprises (34 %) appliquent une politique de rejet total

Cela signifie que 356 entreprises, soit 42 % de celles analysées, restent exposées à des attaques par e-mail susceptibles de compromettre leurs opérations, la confiance des clients et la conformité réglementaire.

Le secteur de l'énergie affiche la posture de sécurité des e-mails la plus solide parmi les trois secteurs analysés.

Statistiques clés :

• 274 entreprises examinées
• Seulement 6 % (17 entreprises) n'ont aucune politique DMARC
• 26 % (72 entreprises) restent en mode surveillance
• 23 % (63 entreprises) ont atteint un certain niveau de protection
• 44,5 % ont atteint une application totale (122 en rejet)

La performance relativement solide du secteur de l'énergie reflète probablement une sensibilisation accrue suite aux attaques très médiatisées contre les infrastructures critiques. Cependant, les 32 % encore non protégés représentent une vulnérabilité importante, notamment compte tenu du rôle du secteur dans la sécurité nationale et la stabilité économique.

Les entreprises énergétiques font face à des menaces constantes de la part d'acteurs étatiques et de cybercriminels cherchant à perturber les chaînes d'approvisionnement ou à voler des données opérationnelles sensibles. Sans authentification appropriée des e-mails, ces organisations restent vulnérables aux attaques de compromission de la messagerie professionnelle (BEC), à l'usurpation d'identité de fournisseurs et aux attaques de vol d'identifiants.

L'industrie chimique présente des lacunes plus préoccupantes dans l'adoption de la sécurité des e-mails.

Statistiques clés :

• 266 entreprises examinées
• 14 % (36 entreprises) n'ont aucune politique DMARC
• 28 % (75 entreprises) restent en mode surveillance
• 22,6 % (60 entreprises) ont atteint un certain niveau de protection
• Seulement 35,7 % ont atteint une application totale (95 en rejet)

Le taux de 42 % d'entreprises non protégées dans le secteur chimique est particulièrement préoccupant compte tenu de la nature sensible de l'industrie. Les entreprises chimiques manipulent des matières dangereuses, maintiennent des chaînes d'approvisionnement complexes et exploitent des installations où des failles de sécurité pourraient avoir des conséquences catastrophiques.

L'e-mail reste un vecteur d'attaque privilégié pour l'espionnage industriel, avec des concurrents et des acteurs hostiles à la recherche de formules, de procédés de fabrication et de listes de clients. L'absence d'application de DMARC laisse ces entreprises vulnérables à des attaques d'usurpation d'identité sophistiquées susceptibles de compromettre la propriété intellectuelle ou de perturber les opérations.

Le secteur de l'eau et des déchets présente les lacunes de sécurité les plus importantes, avec le taux d'application le plus faible parmi tous les secteurs analysés.

Statistiques clés :

• 300 entreprises examinées
• 20 % (59 entreprises) n'ont aucune politique DMARC
• 32 % (97 entreprises) restent en mode surveillance
• 25 % (75 entreprises) ont atteint un certain niveau de protection
• Seulement 23 % ont atteint une application totale (69 en rejet)

Cela signifie que 52 % des entreprises du secteur de l'eau et des déchets restent non protégées, le taux de vulnérabilité le plus élevé parmi tous les secteurs examinés.

Ce constat est particulièrement préoccupant compte tenu de la nature critique des infrastructures hydrauliques. Les installations de traitement de l'eau et des eaux usées sont considérées comme des services essentiels, les attaques pouvant potentiellement affecter la santé publique, la sécurité environnementale et le bien-être des communautés.

Le secteur est de plus en plus ciblé par des attaques de ransomware et des perturbations opérationnelles. Ces dernières années ont vu plusieurs incidents où des attaquants ont obtenu l'accès à des systèmes de traitement de l'eau, compromettant potentiellement les contrôles de qualité de l'eau. L'e-mail reste le vecteur d'accès initial le plus courant pour ces attaques.

Le taux de 42 % d'entreprises non protégées dans ces secteurs représente bien plus qu'un simple écart technique. C'est une vulnérabilité critique au sein d'infrastructures dont la société dépend quotidiennement.

Les entreprises de services essentiels font face à un contrôle réglementaire croissant en matière de cybersécurité :

• Directive NIS2 : les réglementations européennes imposent désormais des mesures de cybersécurité spécifiques pour les infrastructures critiques
• Directives CISA : les agences américaines ont émis des directives opérationnelles contraignantes exigeant l'authentification des e-mails
• Exigences spécifiques au secteur : les installations énergétiques, hydrauliques et chimiques font face à des obligations de conformité propres à leur industrie

Les entreprises dépourvues d'authentification des e-mails appropriée risquent de se retrouver non conformes aux réglementations émergentes, s'exposant à des amendes potentielles et à une surveillance accrue.

Les attaques par e-mail visant les services essentiels peuvent avoir des conséquences considérables :

• Perturbation opérationnelle : un ransomware ou la compromission d'un système peut paralyser des opérations critiques
• Impact sur la chaîne d'approvisionnement : des communications compromises peuvent perturber la logistique et les relations avec les fournisseurs
• Risques pour la sécurité publique : des attaques contre des installations hydrauliques ou chimiques pourraient menacer la santé publique
• Pertes financières : les attaques BEC ont coûté des millions à certaines entreprises en virements frauduleux
• Atteinte à la réputation : les failles de sécurité érodent la confiance des clients et du public

Bien que DMARC soit souvent présenté comme un outil de protection de marque, pour les entreprises de services essentiels, il s'agit fondamentalement de sécurité opérationnelle. L'e-mail reste le principal vecteur d'attaque pour l'accès initial, les attaquants utilisant des techniques d'usurpation d'identité sophistiquées pour :

• Inciter les employés à révéler leurs identifiants
• Autoriser des paiements ou des virements frauduleux
• Installer des logiciels malveillants offrant un accès persistant
• Recueillir des renseignements pour des attaques plus ciblées

Sans l'application de DMARC, les attaquants peuvent facilement usurper des domaines légitimes, rendant les e-mails de phishing pratiquement indiscernables des communications authentiques.

La bonne nouvelle est que 58 % des entreprises ont déjà mis en œuvre l'application de DMARC, prouvant que le déploiement est réalisable même pour des organisations complexes avec des flux d'e-mails variés.

Pour les 42 % encore non protégés, la voie à suivre implique :

1. Évaluation immédiate : comprendre le statut actuel de l'authentification des e-mails et identifier toutes les sources d'e-mails légitimes
2. Mise en œuvre progressive : passer de l'absence de politique à la surveillance (p=none) pour commencer à collecter des données
3. Validation des sources : s'assurer que toutes les sources d'e-mails légitimes sont correctement authentifiées
4. Application progressive : passer à la mise en quarantaine (p=quarantine) puis à l'application totale (p=reject)
5. Surveillance continue : maintenir une visibilité sur les résultats d'authentification des e-mails et les menaces potentielles

L'analyse révèle une vulnérabilité sectorielle qui nécessite une attention urgente. Avec 42 % des entreprises de services essentiels restant non protégées contre les attaques par e-mail, le risque dépasse les organisations individuelles pour toucher les infrastructures critiques dont la société dépend.

Pour les fournisseurs de services essentiels, le message est clair : la sécurité des e-mails ne se limite pas à la protection de votre marque, elle concerne la protection des services critiques que vous fournissez et des communautés que vous servez.

Vous souhaitez comprendre la posture de sécurité des e-mails de votre organisation ? Red Sift OnDMARC vous offre la visibilité et les outils nécessaires pour atteindre l'application de DMARC et vous protéger contre les menaces par e-mail.