La fraude email constitue aujourd’hui l’une des principales cybermenaces pesant sur les entreprises et services publics en France : une récente étude de Proofpoint révèle que 74.6% des sociétés françaises interrogées considèrent que la fraude par email est une des priorités de la direction.
Si l’impact économique des cyberattaques contre les infrastructures est difficile à chiffrer précisément, le FBI est quand même parvenu à estimer l’année dernière que les pertes dues à la fraude par email ont atteint 12,5 milliards de dollars à l'échelle mondiale.
A ce chiffre s’ajoutent les récentes conclusions de recherches Proofpoint selon lesquelles les attaques par email ciblant les entreprises ont augmenté de 226% au quatrième trimestre. Sans compter les cyberattaques de cette nature non déclarées chaque année…
Créé en 2012, entre autres par des opérateurs majeurs de messagerie tels que Google, Yahoo, AOL et Microsoft, le standard DMARC (Domain-based Message Authentication, Reporting & Conformance) constitue sans doute à ce jour l’arme la plus puissante pour lutter contre une classe de phishing très effective : le domain spoofing (ou usurpation de domaine).
DMARC est l’équivalent d’un contrôle de passeport dans le monde de la sécurité des emails. Il vérifie que vous êtes bien celui que vous prétendez être en authentifiant correctement les expéditeurs par rapport aux normes DKIM (Domain Keys Identified Mail) et SPF (Sender Policy Framework) établies. Cette authentification protège les employés, les clients et leurs partenaires, contre les cybercriminels qui cherchent à usurper l’identité d’une marque de confiance.
Adoption de DMARC auprès des entreprises du CAC 40 et des principaux ministères
Afin d’évaluer l’adoption du standard DMARC en France, Proofpoint a réalisé en janvier 2019 une analyse des noms de domaine des entreprises du CAC 40 ainsi que des principaux ministères composant le gouvernement, et des services publics français. L’objectif était de pouvoir évaluer combien d’organisations françaises sont déjà en bonne voie pour se protéger efficacement contre la fraude email, via l’adoption du protocole DMARC.
Voici les principales conclusions de cette analyse :
- Seulement 45% des sociétés du CAC 40 publient une fiche DMARC, soient 18 sociétés sur 40
- Cela laisse plus de 55% des plus grandes organisations françaises exposées à la fraude email et à l’usurpation d’identité
- Sur les 18 entreprises qui ont adopté le standard DMARC, une seule bloque de façon proactive les emails frauduleux (et est donc entièrement conforme DMARC) et deux mettent en quarantaine les messages
Concernant les ministères français et services publics, les experts Proofpoint ont réalisé une analyse DMARC sur 14 ministères français. Ils sont arrivés à la conclusion qu’aucun des ministères français analysés ne protège son domaine contre les attaques d'usurpation d'identité.
Sur les 5 principales organisations de service public analysées (Service Public, Impôts, Collectivités Locales, Fonction publique et Préfecture de Police), une seule est protégée contre les attaques d'usurpation d'identité de domaine : les Impôts.
Signes de progrès dans un contexte de risque accru
Alors que selon une récente étude Proofpoint, 77 % des entreprises françaises s'attendent à être victimes d'une fraude par email au cours des 12 prochains mois, seulement 18 entreprises sur les 40 plus influentes du CAC 40 ont une fiche DMARC. Les organisations françaises doivent encore prendre des mesures proactives pour se protéger des cyberattaques.
Selon un sondage Proofpoint en 2018, plus de la moitié des grandes entreprises interrogées (57%) a mis en place un programme de sensibilisation sur le phishing et 46% utilisent des méthodes d'authentification du courrier électronique. Cela montre clairement que les plus grandes entreprises commencent à comprendre les risques de ces cyberattaques sur la pérennité de leur organisation, et qu’elles agissent en conséquence.
La France : le bon élève européen
En comparant ces résultats avec nos voisins, on remarque que malgré des lacunes à combler, les grandes entreprises françaises sont les mieux préparées au risque de fraude par email et d’usurpation d’identité (45% des entreprises du CAC40 ayant un enregistrement DMARC).
La seconde marche du podium est occupée par la Suède (43% des organisations de l’OMX30 ont un enregistrement DMARC) et la troisième par le Royaume-Uni (42% des entreprises du FTE100 adoptent le standard).
En queue de peloton, on retrouve l’Italie (avec seulement 28% des entreprises du FTSE MIB40 ayant une fiche DMARC), précédée de l’Espagne (avec 32% des entreprises de l’IBEX35 protégées) et de l’Allemagne (avec 33% des entreprises du DAX30 protégées).
Pour vous lancer dans DMARC, rendez-vous sur notre page Email Fraud Defense.