Ce qu'il faut retenir de la sécurité des emails
La sécurité du courrier électronique regroupe l’ensemble des technologies, protocoles et pratiques qui protègent les espaces de messagerie d’entreprise contre les cybermenaces ciblant les systèmes ou les personnes. Elle englobe aussi les stratégies de formation des utilisateurs pour identifier et prévenir les menaces qui transitent par le mail, ainsi que les dispositifs de renseignement sur les menaces actives utilisés pour anticiper les attaques émergentes.
- La protection du courrier électronique professionnel désigne l’ensemble des mesures techniques et humaines qui défendent les organisations contre le hameçonnage, les ransomwares et l’usurpation d’identité.
- 90 % des cyberattaques utilisent le courrier électronique comme vecteur principal, ce qui en fait le premier point à sécuriser dans toute organisation.
- 2,86 % des e-mails professionnels reçus sont ouvertement malveillants, soit environ 54,9 millions de courriers à risque parmi les 1,9 milliard d’envois traités en 2025.
- Les protocoles SPF, DKIM et DMARC authentifient les expéditeurs et réduisent l’usurpation de domaine, mais restent inefficaces si un compte légitime d’un partenaire est compromis.
- Aucune solution ne peut garantir un blocage absolu des menaces. Selon nos études, 9 cyberattaques sur 10 impliquent une erreur humaine, d’où la nécessité de combiner filtrage technique et formation continue des équipes.
- La donnée professionnelle transitant par mail constitue la cible prioritaire des cybercriminels. Protéger chaque utilisateur contre les attaques ciblées exige une approche combinant sécurité technique et renseignement sur les menaces actives. Face à une cyberattaque, la réaction de chacun pèse autant que le protocole technique mis en place.
Que recouvre la sécurité de la messagerie professionnelle ?
La protection du courrier professionnel regroupe l’ensemble des politiques, protocoles et dispositifs qui défendent les entreprises contre les accès non autorisés, les logiciels malveillants et la compromission de données. Ces cybermenaces représentent un risque majeur pour toute organisation : 90 % des cyberattaques passent par ce canal, ce qui en fait le vecteur à surveiller en priorité pour les structures de tout secteur. Pour une entreprise de 100 à 1 000 employés, le coût moyen d’un incident lié au mail peut atteindre plusieurs centaines de milliers d’euros. Une entreprise sans protection adaptée s’expose à des pertes financières et réputationnelles difficiles à absorber.
Son périmètre couvre trois dimensions distinctes :
- Les comptes de courriel : protection des identifiants et sessions contre les accès non autorisés aux boîtes utilisateurs
- Les contenus et pièces jointes : contrôle des envois malveillants, sandboxing d’un fichier suspect et analyse comportementale
- Les données transmises : confidentialité des informations personnelles et sensibles en transit, échanges critiques chiffrés de bout en bout
La sécurisation du courrier électronique ne se confond pas avec la sécurité des terminaux. Un poste bien protégé par un logiciel antivirus peut rester exposé si le système de traitement des courriels accepte des courriers trompeurs. Le filtre anti-spam intervient avant que le mail n’atteigne la messagerie du destinataire, là où la menace peut encore être neutralisée.
2,86 % des courriers professionnels reçus dans les organisations sont ouvertement malveillants, soit environ 54,9 millions d’envois parmi les 1,9 milliard analysés. Ce chiffre mesure la menace informatique concrète, pas une extrapolation de laboratoire.
Quelles menaces ciblent la messagerie professionnelle ?
Les cybermenaces visant les entreprises via leurs systèmes de courriel se répartissent en cinq grandes familles. Le hameçonnage (phishing), le business email compromise (BEC), le ransomware, l’usurpation d’identité (spoofing) et les logiciels malveillants transmis par pièces jointes représentent l’essentiel de la surface d’attaque aujourd’hui. Les cybercriminels utilisent des techniques variées pour contourner les défenses de l’entreprise et accéder aux données sensibles.
| Menace | Mécanisme | Cible principale |
|---|---|---|
| Hameçonnage (phishing) | Courriel imitant une marque ou un service pour soutirer des identifiants | Tous les collaborateurs |
| Hameçonnage ciblé (spear phishing) | Attaque personnalisée sur une personne précise, avec données contextuelles vérifiables | Dirigeants, équipes financières, RH |
| BEC / fraude au président | Usurpation de l'identité d'un dirigeant ou d'un fournisseur pour déclencher un virement | Direction financière |
| Ransomware par pièce jointe | Pièce jointe ou lien installant un logiciel chiffrant les données | Systèmes d'information |
| Spoofing | Falsification du nom d'expéditeur pour se faire passer pour une source connue | Relation client et fournisseurs |
Anatomie d’une attaque par compte compromis
30 % des infections par ransomware passent par un mot de passe compromis. La séquence d’attaque suit presque toujours le même schéma. Le courrier malveillant collecte les codes d’accès, l’attaquant prend le contrôle de la session, puis déploie le rançongiciel depuis l’intérieur de l’organisation. Les solutions de détection classiques ne repèrent rien parce que l’envoi part d’un expéditeur authentifié par l’infrastructure.
Une menace émergente, le piratage des assistants IA par e-mail
Un signal avant-coureur mérite attention pour les experts en cybersécurité. Le piratage des IA via les courriers entrants, par injection de prompt, vise les assistants IA intégrés aux systèmes de communication modernes. Un envoi malveillant peut contenir des instructions cachées qui détournent l’assistant pour exfiltrer des données ou transmettre de fausses informations. Cette menace reste émergente, mais sa surface d’attaque grandit à mesure que les plateformes de communication par mail intègrent davantage d’automatisations.
Les messages suspects font l’objet d’une mise en quarantaine automatique, qui empêche leur livraison sans bloquer définitivement les e-mails légitimes en attente d’analyse.
Exemple
SPF, DKIM et DMARC, quel rôle et quelles limites pour l’authentification email ?
SPF, DKIM et DMARC forment le socle d’authentification du courrier professionnel. L’expression « spf dkim et dmarc » désigne ces trois protocoles d’authentification qui couvrent des fonctions complémentaires. Le sender policy framework (SPF) vérifie que le serveur d’envoi figure dans la liste des serveurs autorisés par votre domaine RFC 7208. DKIM appose une signature cryptographique à chaque message RFC 6376. DMARC définit la politique à appliquer en cas d’échec et génère des rapports d’activité sur votre domaine RFC 7489
Selon Google Workspace et Microsoft 365, ces trois mécanismes sont recommandés pour toute organisation souhaitant protéger son domaine contre les tentatives d’usurpation.
| Protocole | Rôle | Ce qu'il bloque | Ce qu'il ne bloque pas |
|---|---|---|---|
| SPF | Vérifie l'identité du serveur d'envoi | Imitation externe du domaine | Coordination de SPF et DKIM |
| DKIM | Signature cryptographique du message | Altération du contenu en transit | Un courriel envoyé depuis un compte authentique piraté |
| DMARC | Politique d'alignement et rapports | Coordination de SPF et DKIM | Les menaces internes à un compte légitime |
Le déploiement se fait en trois phases. On commence par `p=none` pour auditer les flux sans bloquer aucun message. Puis `p=quarantine` pour rediriger les messages non conformes vers un dossier de quarantaine dédié. Enfin `p=reject` pour bloquer les envois non autorisés. Sauter ces étapes génère des faux positifs sur des courriers légitimes, notamment ceux issus de prestataires ou d’outils tiers aux exigences d’intégration complexes.
La conformité MIME (Multipurpose Internet Mail Extensions) complète ce dispositif. Le standard MIME encode les pièces jointes et les contenus multipart afin que les solutions d’analyse puissent les inspecter correctement avant livraison. Un second audit MIME, effectué après déploiement, révèle les types de fichiers contournant les politiques de contrôle.
Ce protocole est utilisé par la quasi-totalité des logiciels de messagerie d’entreprise modernes pour structurer les messages multipart.
La surveillance des rapports DMARC (format RUA) reste indispensable après déploiement. Ces rapports signalent tout envoi effectué en votre nom, légitime ou non.
Attention
Pourquoi le facteur humain est-il la première faille de la messagerie professionnelle ?
Cliquer sur un lien trompeur, ouvrir une pièce jointe piégée ou communiquer des identifiants à un expéditeur usurpé. Dans chacun de ces cas, l’employé reste la principale porte d’entrée, quelle que soit la robustesse des protections techniques en place.
Ce constat est souvent mal interprété. L’erreur humaine n’est pas une défaillance morale. Ce n’est pas non plus une question de vigilance insuffisante. Les attaquants utilisent aujourd’hui l’IA générative pour produire des leurres sans fautes, personnalisés au contexte de chaque destinataire, imitant le ton d’un interlocuteur connu. Ces attaques de phishing reposent sur un levier psychologique précis, celui de créer chez l’employé un sentiment d’urgence ou de confiance qui court-circuite son jugement critique. Un cybercriminel n’a pas besoin d’un réseau sophistiqué pour réussir. Un courriel frauduleux bien construit depuis une source légitime compromise suffit à tromper n’importe quel salarié vigilant. Même les plus expérimentés en sécurité de l’information.
La formation change pourtant les résultats de manière mesurable. Une stratégie de formation à la cybersécurité peut réduire le risque d’attaque de 45 %. Les dirigeants formés cliquent jusqu’à 10 fois moins sur des liens malveillants. Le pare-feu humain entraîné devient la dernière ligne de défense quand un courrier malveillant passe malgré les filtres de sécurité. Dans une entreprise sans équipe SOC dédiée, cet entraînement est souvent le dispositif le plus utilisé pour réduire l’exposition résiduelle.
La simulation d’hameçonnage complète la formation théorique. Exposer les équipes à de fausses attaques dans un cadre contrôlé révèle les comportements effectifs et permet de déclencher automatiquement des modules pédagogiques ciblés, en fonction du profil de l’utilisateur. La sensibilisation ne se limite pas à un cycle annuel.
Elle doit s’inscrire dans une démarche de prévention continue pour être efficace, avec un suivi digital des progrès et des ressources adaptées à chaque salarié.
Sur smartphone, le risque humain est amplifié. Impossible de survoler un lien pour vérifier sa destination. Les applications mobiles affichent souvent une version tronquée de l’adresse source. Les utilisateurs les plus exposés perdent ainsi les indicateurs visuels qui leur permettent habituellement de détecter une menace lors de la lecture de courriers reçus.
- Ouvrir un lien reçu par mail sans vérifier l’adresse source complète
- Saisir des identifiants sur une page ouverte depuis un mail plutôt que depuis l’application officielle du site
- Agir sous l’effet d’une urgence simulée par le message (« votre compte sera bloqué dans 24 h »)
Astuce
Comment construire une défense multicouche, des outils à la remédiation ?
L’architecture de défense en couches
- Passerelle de courriel sécurisée (SEG) : analyse de tous les messages entrants avant livraison en boîte
- Détection par intelligence artificielle : identification des menaces inconnues par analyse comportementale des courriers
- Sandboxing : ouverture des pièces jointes dans un environnement isolé avant livraison au destinataire
- Authentification multifactorielle (MFA) : second facteur de sécurité sur chaque compte de courriel professionnel
- Chiffrement TLS/S-MIME : sécurisation des échanges en transit et des contenus critiques pour les données sensibles
Les plateformes natives de Microsoft 365 et Google Workspace offrent un premier niveau de détection adapté au spam de masse et aux malwares courants. Elles ne couvrent pas les menaces ciblées qui exigent une expertise pointue. Une couche spécialisée complémentaire prend en charge le hameçonnage ciblé, le BEC et les zero day (vulnérabilité non corrigée exploitée immédiatement) que les solutions généralistes ne sont pas conçues pour intercepter en profondeur.
La threat intelligence (renseignement sur les cybermenaces actives) alimente ce second niveau en signaux d’attaque issus d’évaluations mondiales, ce qui permet de défendre les entreprises contre les mails de phishing émergents avant même qu’ils circulent à grande échelle. La prévention des attaques par force brute sur les accès de messagerie passe notamment par la détection automatisée des tentatives répétées et anormales.
Une attaque par force brute représente par ailleurs un risque financier concret. L’accès obtenu sert souvent à déclencher des virements frauduleux dont l’impact peut être immédiat. C’est une différence de périmètre, pas un défaut de ces plateformes.
Les solutions DLP (Data Loss Prevention) s’intègrent dans ce cycle de protection pour surveiller les données sortantes et prévenir les fuites d’information sensible par voie électronique. Un logiciel malveillant peut également être utilisé pour exfiltrer une donnée confidentielle via un mécanisme de transfert automatisé, ce qui justifie une veille permanente sur les accès anormaux aux espaces de messagerie. Le logiciel de sécurité du courrier inspecte ainsi chaque script joint ou fichier non vérifié avant livraison, en s’appuyant sur des ressources de threat intelligence mondiales.
Selon IBM (2025), le coût moyen d’une violation de données s’établit à 4,4 millions USD, frais de remédiation, arrêt opérationnel et sanctions légales inclus.
Définir une politique de sécurité du courrier
- Authentification SPF, DKIM et DMARC active, en politique de rejet sur le domaine
- Authentification multifactorielle obligatoire sur chaque compte
- Chiffrement TLS en transport et de bout en bout pour les pièces sensibles
- Longueur et complexité minimales des mots de passe, renouvellement immédiat en cas de fuite
- Procédure de signalement d’un courrier suspect portée à la connaissance de chaque membre de l’équipe
- Revue trimestrielle des règles de transfert automatique et des délégations d’accès
Reprendre le contrôle d’un compte compromis
- Révoquer toutes les sessions actives sur le compte compromis, sur tous les appareils et navigateurs
- Changer le mot de passe depuis un appareil sain, avec un identifiant complexe et unique impossible à deviner
- Activer la MFA si elle n’était pas encore en place sur le compte
- Auditer et supprimer les règles de transfert automatique créées par l’attaquant pour continuer à recevoir en copie les courriers entrants sans être détecté
- Supprimer les délégations d’accès accordées à des comptes tiers non reconnus
En quoi la sécurité des emails engage-t-elle le RGPD et la souveraineté des données ?
Le cadre réglementaire RGPD, NIS2 et CRA
- RGPD : chiffrement des communications contenant des données sensibles, journalisation des accès, notification en cas de violation de données
- NIS2 : mesures de cybersécurité sur la chaîne de valeur numérique, y compris les prestataires accédant aux systèmes de courriel
- Cyber Resilience Act (CRA) : exigences de sécurité par conception sur les logiciels et solutions numériques déployés en entreprise
TLS, chiffrement de bout en bout et Cloud Act
Un point souvent ignoré distingue TLS et chiffrement de bout en bout. TLS sécurise la connexion lors du transport. La clé reste cependant entre les mains des éditeurs des plateformes de courriel hébergées hors de l’Union européenne, exposant chaque donnée échangée au Cloud Act américain.
Toute information confidentielle transmise par courriel (coordonnée bancaire, donnée personnelle liée à un dossier RH, clause contractuelle) peut ainsi être soumise à des exigences de divulgation légale étrangère. Un éditeur 100 % français hébergeant ses données en France offre une garantie juridique concrète. Le chiffrement de bout en bout est la seule garantie de confidentialité effective pour les échanges critiques. La délivrabilité des courriers légitimes est également un enjeu de conformité. Un nom de domaine mal configuré risque de voir ses envois classés comme suspects, ce qui nuit à la fois à la réputation de l’organisation et à la vie des échanges professionnels.
La sensibilisation des employés aux obligations juridiques et réglementaires complète l’aspect technique. Un salarié formé comprend pourquoi la sauvegarde d’une donnée confidentielle hors des systèmes approuvés constitue une perte de contrôle et un risque pour l’organisation. La norme européenne pousse à aller plus loin que le simple filtrage web ou réseau.
Héberger l’ensemble de vos données en France garantit une conformité RGPD native et une protection contre les exigences légales étrangères. Une plateforme certifiée HDS (Hébergement Données de Santé), labellisée France Cybersecurity, souveraine et conforme NIS2 et CRA par conception offre cette sécurité de conformité. La sécurité du mail professionnel s’apprécie ainsi sur deux dimensions complémentaires, à savoir la menace technique (attaquants externes, logiciel malveillant) et le risque juridique (non-conformité, hébergement hors Union européenne). La sécurité informatique de la messagerie implique également un audit de délivrabilité régulier. Le tableau de bord de surveillance des rapports d’authentification constitue le principal vecteur de renseignement sur la réputation en temps réel.
Puis-je me fier uniquement aux fonctions de sécurité de mon fournisseur de messagerie (Google, Microsoft) ?
Les filtres natifs protègent efficacement contre le spam de masse et les malwares courants. Ils ne couvrent pas les attaques ciblées (hameçonnage personnalisé, BEC, zero-day) qui demandent une analyse comportementale approfondie. Pour une PME ou une ETI sans équipe SOC, une couche de protection spécialisée réduit la surface d’attaque que les outils généralistes ne peuvent pas couvrir.
L'IA peut-elle résoudre le problème de la sécurité des e-mails ?
L’IA améliore la détection des menaces inconnues par analyse comportementale des flux de courrier entrant. Les attaquants l’utilisent aussi pour générer des leurres plus crédibles et personnalisés. Selon nos études, 9 cyberattaques sur 10 impliquent une erreur humaine. La formation des utilisateurs reste donc indispensable en complément de tout traitement automatisé, aussi sophistiqué soit-il.
Comment les PME peuvent-elles améliorer la sécurité des e-mails sans gros budget ?
Trois actions permettent d’améliorer le niveau de protection à coût maîtrisé. Premièrement, activer SPF, DKIM et DMARC sur l’ensemble des domaines de l’organisation. Deuxièmement, déployer la MFA sur tous les accès de messagerie professionnelle exigeant des droits élevés. Troisièmement, simuler des campagnes d’hameçonnage pour mesurer la vulnérabilité effective avant d’investir dans une protection avancée. Ces trois leviers, peu coûteux, abaissent nettement l’exposition au risque humain dès les premières semaines.
Que faire si mon compte de messagerie a été compromis ?
Révoquez immédiatement toutes les sessions actives depuis les paramètres de sécurité de l’espace de messagerie. Changez le mot de passe depuis un appareil sain. Activez la MFA. Puis vérifiez et supprimez les règles de transfert automatique et les délégations créées à votre insu. Ces accès furtifs permettent à l’attaquant de continuer à recevoir vos courriers entrants même après le changement du mot de passe. Alertez ensuite les contacts susceptibles d’avoir reçu des envois trompeurs en votre nom.
Quelle est la différence entre un e-mail de phishing et un e-mail d'usurpation d'identité (spoofing) ?
Le spoofing falsifie le nom d’expéditeur affiché pour imiter une source connue, sans nécessairement chercher à soutirer des informations. Le hameçonnage (phishing) vise à tromper le destinataire pour lui faire exécuter une action ou révéler ses codes d’accès. Les deux techniques sont fréquemment combinées dans les attaques ciblées de type spear phishing.
Mes e-mails arrivent en spam après la configuration de DMARC, est-ce normal ?
Un déploiement DMARC en mode strict (`p=reject` ou `p=quarantine`) sans phase d’observation préalable peut bloquer des courriels légitimes envoyés par des prestataires externes non encore déclarés dans votre enregistrement SPF. La démarche recommandée est de commencer par `p=none` pour cartographier l’ensemble des flux légitimes, corriger les enregistrements DNS, puis durcir progressivement la politique de sécurité.
Qu'est-ce qu'un spam ?
Comment limiter sa vulnérabilité face aux cyberattaques ?
Cloud ou on premise : que choisir ?
Collectivités : construire son plan de crise en cas de cyberattaque
Qu’est-ce que BIMI ?