L'IA a rendu les attaques de phishing moins coûteuses, plus rapides et presque impossibles à détecter à l'œil nu. Dans ce webinaire, Antony Seedhouse, Eric Johnson et Natalie Hays de Red Sift expliquent pourquoi l'application du DMARC (Domain-based Message Authentication, Reporting and Conformance) est la seule défense fiable contre l'usurpation exacte de domaine, et comment OnDMARC permet aux organisations de passer de p=none à p=reject en six à huit semaines.
Points clés à retenir
- Les e-mails de phishing générés par l'IA présentent désormais une grammaire quasi parfaite, une personnalisation réelle et un design professionnel, éliminant les anciens signaux d'alerte sur lesquels s'appuyaient les utilisateurs
- Le nombre d'enregistrements DMARC a doublé, passant de 8 à 15 millions en moins de deux ans, mais la plupart des domaines restent en p=none, ce qui n'offre aucune protection contre l'usurpation
- Red Sift OnDMARC amène les organisations à une application complète du DMARC en six à huit semaines en moyenne, avec une surveillance proactive grâce à DNS Guardian et des analyses propulsées par l'IA issues de Red Sift Radar
L'IA vient d'offrir aux attaquants une mise à niveau massive
Les chiffres sont difficiles à ignorer. Les attaques de phishing ont explosé au cours de l'année écoulée, portées presque entièrement par des outils d'IA générative qui rendent triviale le lancement de campagnes sophistiquées à grande échelle.
« Ce qui prenait auparavant des jours ou des semaines à quelqu'un pour mettre en place peut désormais essentiellement se faire en un seul coup », a déclaré Antony Seedhouse, Product Manager pour OnDMARC chez Red Sift. « La barrière à l'entrée est désormais absurdement basse pour mener une attaque de phishing beaucoup plus efficace et automatisée. »
Et ce n'est pas seulement le volume qui a changé. La qualité a également explosé. Les attaquants ont désormais accès à des plateformes de phishing-as-a-service soignées et dotées d'interfaces graphiques qui ressemblent à des produits SaaS légitimes. Des outils comme « SpamGPT » offrent la même interface épurée que l'on attendrait d'un produit d'IA commercial, mais conçue pour la fraude. Le coût d'entrée a chuté. Les compétences techniques requises ont chuté. Et la qualité des résultats a explosé.
Les anciens signaux d'alerte ont disparu
Le webinaire a mis en lumière ce changement avec une comparaison côte à côte. D'un côté : les tentatives de phishing classiques. Pensez à « ATTENTION BÉNÉFICIAIRE » en majuscules provenant d'une adresse e-mail Yahoo, ou à une fausse alerte PayPal truffée de fautes d'orthographe provenant de « paypie-verify.com ». Elles sont presque attachantes tant elles sont évidentes.
De l'autre côté : des e-mails de phishing générés par l'IA sur lesquels même des professionnels de la sécurité devraient s'arrêter. Un exemple imitait une véritable alerte de sécurité Microsoft avec une grammaire quasi parfaite, le vrai nom et l'e-mail du destinataire, un sous-domaine plausible (microsoft-alerts.com), et des détails de connexion réalistes avec horodatages et données de géolocalisation. L'appel à l'action était subtil plutôt qu'urgent, et le pied de page comportait une adresse et des liens en bonne et due forme.
Le deuxième exemple touchait de plus près. Il usurpait la propre plateforme de Red Sift en utilisant un domaine similaire (redsift-notifications.com), faisait référence à de véritables fonctionnalités du produit comme les rapports agrégés, l'accès API et l'intégration SIEM, et utilisait même la véritable adresse du bureau de l'entreprise à Londres.
« L'IA a généré ces deux exemples en quelques secondes, pas en heures, pas en jours », a déclaré Antony. « La grammaire est quasi parfaite, le design est soigné, la personnalisation est réelle. La seule défense fiable contre ce type d'usurpation exacte de domaine est l'application du DMARC. »
L'adoption du DMARC progresse, mais l'application reste très en retard
Les exigences relatives aux expéditeurs en masse déployées par Google, Yahoo et Microsoft ont entraîné une véritable poussée de l'adoption du DMARC. Le nombre total d'enregistrements DMARC a doublé, passant de 8 à 15 millions en environ 18 mois. Les mandats font clairement bouger les lignes.
Mais voici le problème : la plupart de ces domaines restent bloqués en p=none.
Environ 18 % des domaines disposent désormais d'une politique DMARC d'un certain type. Une fraction d'entre eux l'applique réellement avec p=quarantine ou p=reject. Et p=none, bien qu'utile pour la visibilité, ne fait rien pour empêcher un attaquant d'usurper votre domaine et d'atterrir dans la boîte de réception de quelqu'un.
« Même si vous mettez en place une politique DMARC, si elle est en none, elle n'offre en réalité aucune sécurité », a déclaré Antony. « Cela revient simplement à dire qu'il est acceptable que des personnes usurpent mon domaine. »
Les principaux fournisseurs de messagerie n'ont jusqu'à présent imposé que le strict minimum. Mais la direction est claire. Les exigences se durcissent, et BIMI (Brand Indicators for Message Identification) exige déjà p=reject. Les organisations qui attendent d'être contraintes à l'application laissent leurs marques et leurs clients exposés entre-temps.
Gartner le confirme. Le cabinet d'analystes recommande DMARC comme élément fondamental de toute stratégie de sécurité des e-mails, aux côtés du chiffrement des e-mails et de la MFA. Pourtant, moins de 10 % des organisations ont réellement atteint le niveau d'application.
Trois mythes qui bloquent les organisations à p=none
Eric Johnson, Lead Senior Customer Success Engineer chez Red Sift, entend les mêmes objections lors de presque chaque appel :
« On a essayé et ça a cassé notre messagerie. » C'est l'objection la plus courante, et c'est compréhensible. L'application du DMARC sans préparation adéquate revient à activer un pare-feu qui bloque tout le trafic et à être surpris que rien ne fonctionne. Mais avec la bonne approche (des changements de politique progressifs, des tests appropriés et des conseils d'experts), vous pouvez atteindre p=reject sans perturber le moindre flux d'e-mails légitime.
« Nous sommes en p=none, donc nous sommes conformes. » Pas tout à fait. Les exigences relatives aux expéditeurs en masse n'imposent pas simplement d'avoir un enregistrement DMARC. Elles exigent des e-mails correctement authentifiés. Si vous envoyez des volumes en masse qui échouent à l'authentification, des fournisseurs comme Google et Yahoo traiteront de toute façon votre e-mail comme si vous étiez en p=reject et le rejetteront, quelle que soit votre politique réelle.
« Notre fournisseur de sécurité gère déjà le DMARC. » De nombreuses plateformes de sécurité ajoutent le DMARC comme une réflexion après coup. C'est manuel, complexe et difficile à gérer à grande échelle. Une plateforme DMARC conçue spécifiquement pour cela est pensée dès le départ pour résoudre ce problème précis, et non ajoutée comme fonctionnalité secondaire.
Le DMARC en quarantaine, c'est juste appuyer sur snooze
Eric avait une analogie mémorable pour les organisations qui s'arrêtent à p=quarantine : « P=quarantine, c'est un peu comme appuyer sur le bouton snooze face aux problèmes existants. »
Voici pourquoi. La quarantaine envoie les e-mails suspects dans le dossier spam ou courrier indésirable au lieu de les bloquer entièrement. Le message est quand même livré. Et les gens vérifient effectivement leurs dossiers spam. Eric a évoqué un scénario réel : « Donner à, vous savez, la mère de Natalie ou mon père l'occasion de vérifier son dossier spam et de voir un e-mail urgent, de cliquer, d'agir, et l'instant d'après ils ont perdu 10 000 $ ou plus. »
La quarantaine masque également de véritables problèmes de délivrabilité. Si vos propres e-mails authentifiés échouent au DMARC et sont signalés comme spam, vous ne le saurez pas à moins qu'un destinataire ne vous contacte pour vous le signaler. Avec p=reject, ces échecs sont immédiats et visibles, ce qui signifie que vous les détectez et les corrigez rapidement.
D'un point de vue marketing, Natalie Hays, Senior Product Marketing Manager chez Red Sift, a ajouté un autre angle : « Rien n'est plus humiliant pour un marketeur qu'un décideur voyant un e-mail de votre marque dans le dossier spam et vous demandant ce que vous faites mal. »
Red Sift OnDMARC : de zéro à l'application en six à huit semaines
Red Sift OnDMARC est une plateforme tout-en-un de gestion de la configuration de la sécurité des e-mails qui amène les organisations de p=none jusqu'à l'application de p=reject, puis au-delà vers des protocoles comme MTA-STS (Mail Transfer Agent Strict Transport Security) et BIMI.
Le chemin typique vers l'application prend de six à huit semaines, même pour les grands domaines avec des millions d'e-mails et des dizaines de services d'envoi. Le processus commence par le reporting DMARC pour découvrir tous les flux d'e-mails, les expéditeurs autorisés et les sous-domaines. À partir de là, l'équipe interne de réussite client de Red Sift (aucun support externalisé) travaille avec vous pour résoudre les flux de messagerie complexes et les problèmes d'authentification délicats.
Une fois que vous avez atteint l'application, OnDMARC continue de travailler. Deux fonctionnalités se distinguent :
DNS Guardian surveille tous les paramètres DNS sur vos domaines et identifie les erreurs de configuration susceptibles de créer des vulnérabilités. Si un fournisseur de services de messagerie que vous avez autorisé il y a des années cesse ses activités, un attaquant pourrait prendre le contrôle de ce domaine et obtenir la capacité d'envoyer des e-mails en votre nom. DNS Guardian détecte ces enregistrements DNS orphelins avant qu'ils ne deviennent des vecteurs d'attaque.
Red Sift Radar est un assistant propulsé par l'IA formé spécifiquement sur l'authentification des e-mails. Il agit comme un expert en cybersécurité disponible à la demande, auprès duquel vous pouvez poser des questions en langage naturel. Besoin de comprendre un rapport DMARC complexe ? Vous voulez savoir ce que signifie une erreur de configuration et comment la corriger ? Radar s'en occupe. Comme l'a formulé Eric : « Si je ne suis pas là pour répondre à votre question, Radar est là pour vous. »
Et pour les attaques par domaines similaires (comme cet exemple de redsift-notifications.com), Red Sift Brand Trust fournit détection et surveillance afin que vous puissiez repérer les menaces avant qu'elles ne soient exploitées.
La sensibilisation à la sécurité compte toujours
Une question clé du public : si l'IA rend les e-mails de phishing impossibles à reconnaître, la formation à la sensibilisation à la sécurité a-t-elle encore une valeur ?
Le panel était unanime : oui. Le DMARC élimine l'usurpation exacte de domaine, ce qui supprime l'un des signaux de phishing les plus forts. Mais les menaces évoluent. Les domaines similaires, les attaques par SMS et les tactiques d'ingénierie sociale se situent tous en dehors du champ d'action de l'authentification des e-mails. Former vos collaborateurs à repérer la différence entre redsift.com et redsift-notifications.com reste important.
« Même si vous avez mis en place le DMARC, les attaques évoluent, elles deviennent plus sophistiquées », a déclaré Eric. « Former vos utilisateurs finaux à repérer ces nuances est quelque chose que la formation à la sensibilisation à la sécurité peut réellement permettre. »
Faites le premier pas
Si vous souhaitez découvrir où en est votre domaine dès maintenant, Red Sift propose une analyse gratuite de votre configuration DMARC, SPF (Sender Policy Framework) et DKIM (DomainKeys Identified Mail) via Red Sift Investigate.
Prêt à aller plus loin ?
Natalie Hays is Senior Product Marketing Manager at Red Sift, where she drives go-to-market strategy and product positioning across the company's entire product portfolio.