94 % des cyberattaques sont aujourd’hui initiées via la boîte email, faisant de ce canal le principal vecteur de fraude en ligne. La plupart du temps, les pirates informatiques créent des leurres liés à l’actualité (COVID-19, impôts…) et usurpent les noms de domaines d’entreprises reconnues ou d’organisations légitimes pour piéger leurs victimes.
Dans la lutte contre la fraude par email, toutes les entreprises et organisations ont un rôle prépondérant à jouer pour empêcher des cybercriminels de dérober des données personnelles ou sensibles en usurpant leur identité de marque, dite de confiance.
Pour assumer ce rôle et réduire le risque de cyberattaque, l’une des pistes les plus évidentes est la sensibilisation des collaborateurs et des citoyens au pratiques de cybersécurité (99 % des cyberattaques par email nécessitant une action humaine pour se déclencher – clic, ouverture de pièce-jointe) notamment sur la détection de mails frauduleux reçus, usurpant les identités des émetteurs.
Autre piste tout aussi efficace mais encore sous-exploitée DMARC (Domain-based Message Authentication, Reporting, and Conformance), une méthode d'authentification des expéditeurs d’emails, devenue un standard à l’échelle mondiale. Créée en 2012 par des opérateurs majeurs de messagerie tels que Google, Yahoo!, AOL et Microsoft, DMARC constitue à ce jour l’arme la plus puissante pour lutter contre le spoofing (usurpation d’identité) et le phishing (hameçonnage).
Les principales entreprises et organisations françaises font-elles tout ce qui est en leur pouvoir pour réduire le risque de cyberattaque ?
Pour tenter de répondre à cette question, les chercheurs Proofpoint se sont une nouvelle fois penchés sur la mise en œuvre du standard DMARC au sein des entreprises du CAC 40, ainsi que de 14 ministères et services publics français. C’est la troisième année consécutive que Proofpoint réalise cette enquête, afin de mesurer la progression du taux d’adoption du protocole DMARC au sein des principales marques et organisations de confiance en France.
Voici les principales conclusions de cette enquête, réalisée en avril 2021 :
- 31 entreprises du CAC 40 (77 %) ont un enregistrement DMARC, soient 8 de plus qu’en 2020.
- Sur les 31 entreprises ayant un enregistrement DMARC, seulement 6 bloquent de manière proactive les emails frauduleux (15 %) et sont donc totalement conformes à DMARC. Une nette amélioration par rapport à 2020 puisque seulement 3 entreprises bloquaient proactivement les emails l’an dernier.
- 9 des plus grandes organisations françaises (23%) restent donc encore largement exposées à la fraude par email ainsi qu’à l'usurpation de nom de domaine.
- 5 des 14 ministères français ont mis en œuvre DMARC (1 de plus qu’en 2020) et ont donc une visibilité sur l'usurpation d'identité de leur domaine par les cybercriminels. Cependant, seul le ministère de l'Économie est entièrement conforme à la norme DMARC et bloque de manière proactive les courriels frauduleux destinés aux citoyens français.
- Sur les 5 organisations de services publics clés (considérées comme des infrastructures critiques), seule 1 organisation est protégée contre les attaques par usurpation de domaine (Les Impôts). Mais son domaine associé utilisé pour envoyer des emails au contribuable (DGFIP) est lui laissé sans protection maximale…
Ces chiffres tendent à démontrer que l’adoption de DMARC progresse de manière beaucoup plus prononcée dans les plus grandes entreprises françaises qu’au sein des organisations gouvernementales, illustrant le décalage évident de maturité en matière de posture de cybersécurité entre secteurs privé et public. D’une manière générale, le standard DMARC reste sous-exploité, car trop peu d’acteurs mettent en œuvre son niveau de protection le plus haut (REJECT), malgré les recommandations de l’ANSSI. Pour Proofpoint, la lutte contre la fraude email doit encore s’intensifier, notamment au niveau des opérateurs FAI grand public.
La pandémie : accélérateur de lutte contre la fraude par email ?
Avant le début de la pandémie, de nombreux indicateurs témoignaient déjà de la nécessité d’adopter des stratégies de cybersécurité plus affutées impliquant notamment la mise en œuvre du plus haut niveau de protection de DMARC (REJECT). Puis la pandémie a fait émerger des leurres par email particulièrement efficaces, qui utilisés massivement par les pirates informatiques, ont encore relevé le niveau de vigilance des entreprises.
Selon Loïc Guézo, Directeur Stratégie Cybersécurité SEMEA chez Proofpoint : « On ne peut que se réjouir de voir qu’au début de l’ère post-COVID, et dans un contexte de télétravail quasi généralisé, les plus grandes entreprises françaises semblent avoir davantage pris conscience des cyber-risques en adoptant le standard DMARC pour « certifier » les emails émis depuis leur nom de domaine. Il est primordial de poursuivre les efforts pour sécuriser leur infrastructure, au risque de connaître l’impact que pourrait avoir une large cyberattaque sur leur capital-marque ».
Pour plus d’informations sur DMARC et la lutte contre la fraude email, rendez-vous sur :
https://www.proofpoint.com/fr/products/email-fraud-defense