Rapport DMARC FTSE 250 : 39 % des plus grandes entreprises britanniques ne bloquent toujours pas l'usurpation d'email

Red Sift a analysé les enregistrements DMARC des 250 sociétés constituant le FTSE 250, l'indice des plus grandes entreprises britanniques de moyenne capitalisation cotées en bourse. 152 d'entre elles (60,8 %) ont atteint le niveau d'application complet du DMARC à p=reject. Les 98 autres non. Cela signifie que 39 % des plus grandes entreprises britanniques de moyenne capitalisation laissent encore la possibilité à quelqu'un d'envoyer des emails qui semblent provenir d'elles.

Ce chiffre global est meilleur que ce que nous avons observé aux États-Unis. La série régionale américaine de Red Sift a révélé des taux d'application du DMARC de 35 % dans le Nord-Est, 44 % dans le Mid-Atlantic, 40 % dans le Sud-Ouest, 36 % dans le Heartland, et 41 % dans les États du Centre-Nord. Le FTSE 250 est en avance. Mais être en avance par rapport à un seuil bas reste loin d'être suffisant.

• 152 des 250 organisations du FTSE 250 (60,8 %) ont atteint le niveau d'application du DMARC à p=reject
• 47 organisations (18,8 %) appliquent des politiques p=none qui surveillent le trafic mais ne prennent aucune mesure contre les emails usurpés
• 33 organisations (13,2 %) se situent à p=quarantine, envoyant les messages suspects vers les spams plutôt que de les bloquer purement et simplement
• 18 organisations (7,2 %) n'ont publié aucun enregistrement DMARC
• 98 des plus grandes entreprises britanniques de moyenne capitalisation (39,2 %) n'ont pas encore atteint le niveau d'application complet

DMARC (Domain-based Message Authentication, Reporting and Conformance) est le standard d'authentification des emails qui indique aux serveurs de messagerie destinataires quoi faire lorsqu'un message échoue aux vérifications SPF ou DKIM. Il existe trois niveaux de politique :

• p=none correspond à une simple surveillance. Le propriétaire du domaine reçoit des rapports, mais les emails non authentifiés sont tout de même délivrés.
• p=quarantine envoie les emails suspects vers les spams.
• p=reject bloque purement et simplement les emails non authentifiés, avant qu'ils n'atteignent la boîte de réception.

Seul p=reject offre une protection complète contre l'usurpation. Tout le reste n'est que partiel.

Sur les 250 domaines du FTSE 250 analysés, la répartition penche fortement vers l'application, ce qui est une bonne nouvelle. La mauvaise nouvelle, c'est la longue traîne. Près d'une entreprise du FTSE 250 sur cinq a mis en place le DMARC mais s'est arrêtée à p=none, ce qui équivaut à installer une caméra de vidéosurveillance sans jamais consulter les images. 13 % supplémentaires se situent à p=quarantine, proches d'une protection complète mais pas tout à fait. Et 18 organisations, dont des noms bien connus du grand public, n'ont publié aucun enregistrement DMARC.

Le FTSE 100 fait la une des articles sur la sécurité la plupart du temps. Les banques, les majors pétrolières et les géants pharmaceutiques disposent d'équipes de sécurité complètes, d'une supervision des risques cyber au niveau du conseil d'administration, et du budget qui va avec. Le FTSE 250 est différent.

Les 250 sociétés de moyenne capitalisation comprennent des constructeurs de maisons, des détaillants régionaux, des gestionnaires de fonds, des fournisseurs de défense, des producteurs alimentaires et des marques grand public qui envoient des millions d'emails transactionnels chaque année. Elles sont suffisamment importantes pour constituer des cibles d'usurpation à forte valeur, et suffisamment petites pour que leurs équipes de sécurité soient souvent débordées. C'est dans l'écart entre la maturité du FTSE 100 et celle du FTSE 250 que les attaquants opèrent.

C'est ce qui rend le taux d'application de 60,8 % intéressant. Il est bien supérieur à ce que nous avons observé dans les jeux de données régionaux américains, mais ces échantillons incluent des organisations du secteur public et des entreprises plus petites. Une tendance indique que les entreprises britanniques de moyenne capitalisation prennent généralement le DMARC plus au sérieux que leurs équivalentes américaines, probablement en raison de :

1. Les recommandations du NCSC. Le National Cyber Security Centre (NCSC) britannique recommande le DMARC à p=reject depuis des années, et en a fait une exigence par défaut pour les domaines du secteur public via le programme Active Cyber Defence depuis 2016. Les équipes de sécurité du secteur privé suivent souvent les mêmes recommandations.
2. La pression des fournisseurs de messagerie. Les exigences de Google, Yahoo et Microsoft pour les expéditeurs en masse à partir de 2024 concernent tous ceux qui envoient des emails à des consommateurs au sein de ces écosystèmes. Les marques grand public de moyenne capitalisation ont ressenti cette pression en premier.
3. Les exigences de la chaîne d'approvisionnement. De nombreuses entreprises du FTSE 250 font partie de la chaîne d'approvisionnement de clients du FTSE 100, qui exigent de plus en plus le DMARC dans le cadre de l'assurance fournisseur.

Malgré ces progrès, le chiffre le plus révélateur est que 39 % de l'indice ne bloquent pas les emails usurpés. Ce sont des organisations disposant d'équipes de sécurité en bonne et due forme, de comités d'audit et d'obligations de divulgation. Ce n'est pas une question de capacité. C'est une question de priorisation.

Il s'agit de la plus grande catégorie de non-application. Ce sont des entreprises qui ont accompli la partie la plus difficile. Elles ont publié un enregistrement DMARC, mis en place le reporting et, dans la plupart des cas, configuré le SPF et le DKIM pour leurs principales sources d'envoi. Elles n'ont simplement jamais terminé le travail.

Le passage de p=none à p=reject est l'étape où les projets DMARC s'enlisent le plus souvent. La raison est opérationnelle, pas technique. Pour appliquer la politique en toute sécurité, il faut connaître chaque service légitime envoyant des emails en votre nom, configurer chacun d'entre eux pour qu'il s'authentifie correctement, et vérifier que rien ne se casse lorsque la politique est activée. Pour une entreprise de moyenne capitalisation utilisant l'automatisation marketing, des systèmes RH, des prestataires de paie, des plateformes CRM et des outils de support tiers envoyant tous des emails, cette visibilité est difficile à obtenir manuellement.

Les organisations bloquées à p=none reçoivent des rapports qu'elles n'ont pas le temps de lire. Elles paient pour un contrôle qu'elles n'utilisent pas. Et elles présentent la même surface d'attaque que les organisations n'ayant aucun DMARC, car les attaquants se moquent de la politique en place. Ce qui compte pour eux, c'est de savoir si leurs emails usurpés passent ou non.

p=quarantine est la position partielle la plus défendable. Les emails suspects sont envoyés vers les spams, ce qui signifie que la plupart des utilisateurs ne les voient jamais. Mais « la plupart » n'est pas « tous », et les filtres anti-spam des entreprises sont inconsistants. Une facture usurpée qui atterrit dans les indésirables pour un destinataire peut atterrir dans la boîte de réception pour un autre, selon le fournisseur de messagerie, les paramètres de l'utilisateur et la réputation de l'adresse IP émettrice.

La quarantaine est également l'endroit où les attaquants testent leur délivrabilité. Si une campagne parvient systématiquement à atterrir dans les dossiers de spam, elle peut être affinée pour améliorer son placement dans la boîte de réception. Le rejet ferme complètement cette porte.

Les 33 entreprises du FTSE 250 en quarantaine ne sont généralement qu'à une décision de projet du niveau d'application complet. Elles ont fait le travail de validation de leurs expéditeurs. Il ne leur reste plus qu'à franchir la dernière étape.

Il s'agit de la catégorie la plus préoccupante, et elle traverse tous les secteurs. Les 18 organisations incluent des entreprises de construction résidentielle, de commerce de détail, d'hôtellerie, de production alimentaire et de fabrication industrielle. Plusieurs sont des marques grand public qui envoient des emails transactionnels à des millions de clients britanniques.

Sans enregistrement DMARC, il n'existe aucune politique que les serveurs de messagerie destinataires puissent appliquer. N'importe qui peut envoyer un email prétendant provenir de ces domaines, sans aucun signal indiquant au destinataire que le message est non autorisé. Le SPF et le DKIM peuvent être en place, mais sans le DMARC pour les relier à une politique publiée, aucun de ces deux standards ne prévient réellement l'usurpation.

Pour les marques grand public, il s'agit également d'un enjeu de protection de la marque. Les consommateurs britanniques reçoivent chaque jour des emails de phishing usurpant l'identité de ces organisations. Certains de ces emails passent. Certains convertissent.

Trois éléments ont changé au cours des 18 derniers mois, rendant l'écart de 39 % plus coûteux qu'auparavant.

L'application par les fournisseurs de messagerie. Google, Yahoo et Microsoft exigent désormais le DMARC pour les expéditeurs en masse. Les emails marketing provenant de domaines sans enregistrement DMARC valide sont de plus en plus souvent envoyés en spam ou rejetés. Le coût de l'inaction n'est pas théorique. Il se mesure en délivrabilité et en pipeline commercial.

L'expansion réglementaire. La directive NIS2 s'applique aux organisations britanniques opérant dans l'UE. Le futur Cyber Security and Resilience Bill britannique, annoncé lors du discours du roi de juillet 2024, devrait élargir le champ des entités réglementées et renforcer les exigences de reporting. L'authentification des emails est fondamentale pour les deux.

Les pertes liées au BEC. Le IC3 du FBI a signalé 3 milliards de dollars de pertes liées à la compromission des emails d'entreprise (BEC) en 2025 au niveau mondial. Les chiffres de UK Finance situent la fraude par paiement autorisé (dont le BEC est une composante majeure) à 459 millions de livres sterling en 2023. Le DMARC à p=reject est le contrôle le plus efficace pour stopper l'étape d'usurpation qui rend le BEC possible.

Pour les 98 organisations du FTSE 250 qui n'ont pas encore atteint p=reject, la marche à suivre est claire :

1. Vérifiez votre configuration actuelle. Utilisez des outils gratuits, notamment Red Sift Investigate, pour vérifier votre configuration DMARC, DKIM, SPF actuelle et bien plus encore.
2. Auditez vos envois actuels. Utilisez les rapports agrégés DMARC pour cartographier chaque service envoyant des emails en votre nom. La plupart des entreprises de moyenne capitalisation découvrent entre 30 et 60 services dont elles ignoraient l'existence.
3. Authentifiez chaque source légitime. Configurez le SPF et le DKIM pour chacune d'entre elles, et renforcez l'alignement.
4. Surveillez les rapports. Confirmez que les emails authentifiés passent et que les emails non authentifiés sont visibles. Résolvez les échecs éventuels.
5. Passez à p=quarantine, puis à p=reject.p=quarantine, puis à p=reject. Un déploiement progressif réduit le risque de bloquer des emails légitimes.

Les outils ont mûri. Ce qui était autrefois un projet de six à douze mois ne prend désormais que six à huit semaines avec la bonne plateforme.

Red Sift OnDMARC automatise la découverte, la configuration et la surveillance continue nécessaires pour atteindre et maintenir le niveau d'application. Dynamic SPF aplatit automatiquement les chaînes de recherche. Le tableau de bord de reporting met en évidence les problèmes par source d'envoi. Et la surveillance continue détecte toute dérive dès qu'un nouveau service est ajouté.

Méthodologie : Red Sift a analysé les enregistrements DNS publiés pour les 250 domaines appartenant aux entreprises constituant le FTSE 250 en date de mai 2026. Les enregistrements vérifiés incluent le SPF, le DKIM et le DMARC. La classification des politiques repose sur la valeur p= présente dans l'enregistrement DMARC publié. Les organisations sans enregistrement DMARC publié sont classées comme N/A. Lorsqu'un domaine a publié un enregistrement DMARC mais qu'aucune politique valide n'a pu être récupérée, l'enregistrement est classé comme politique introuvable.