Les Assises de la cybersécurité ont fermé leurs portes, laissant place aux chantiers à venir en France notamment en matière d’IA et de règlementation. Si le bilan de l’année 2024 se veut positif, le mail reste le premier vecteur de menace en France et dans le monde, et les mesures de protection basiques ne sont pas encore complètement acquises.
Proofpoint dévoile aujourd’hui son analyse annuelle des enregistrements DMARC des entreprises du CAC 40 dont les résultats sont encourageants, bien que toujours insuffisants. Ces résultats sont basés sur une analyse de l’adoption du protocole DMARC (Domain-based Message Authentication, Reporting and Conformance) dans la liste actuelle des entreprises du CAC 40. DMARC est un protocole d’authentification du courrier électronique conçu pour protéger les noms de domaine contre les abus des cybercriminels. Il authentifie l’identité de l’expéditeur avant de permettre à un message d’atteindre sa destination.
DMARC offre trois niveaux de protection : la surveillance, la quarantaine et le rejet, le rejet étant le moyen le plus sûr d’empêcher les messages suspects d’atteindre la boîte de réception.
En effet, la quasi-totalité des entreprises du CAC 40 ont adopté le standard DMARC, mais elles sont toujours moins de la moitié à avoir mis en place le niveau de protection recommandé.
Pour rappel, le protocole DMARC permet à une organisation de définir le traitement à appliquer aux messages électroniques utilisant son nom de domaine, ainsi que la politique à appliquer en cas d’échec de la vérification : accepter le message électronique (p=none, où p représente la politique), le classer comme indésirable (p=quarantine) ou le supprimer (p=reject).
Voici les principaux résultats de l’analyse 2024 de la protection DMARC dans les entreprises du CAC 40 :
- L’adoption du DMARC par les entreprises du CAC40 continue de croître. Cette année, 38 des entreprises du CAC40 (95%) ont publié un enregistrement DMARC (contre 90% en 2023, 78% en 2022 et 77% en 2021). Il ne reste donc que 2 entreprises (5%) sans enregistrement DMARC (contre 10% en 2023 et 22% en 2022).
- Cependant, seules 19 entreprises (48 %) ont mis en place le niveau de protection recommandé (rejet), qui empêche de manière proactive les courriels frauduleux d’atteindre les clients. Cela représente une augmentation au cours de l’année, puisque 43 % des entreprises auront atteint le niveau de rejet en 2023, et 35 % en 2022.
- 19 des entreprises (48%) ont pris les premières mesures en publiant un enregistrement DMARC, mais ne jouent aucun rôle actif de protection, se contentant d’un niveau minimal de surveillance et de mise en quarantaine. C’est le même niveau qu’en 2023, mais un peu plus qu’en 2022, où le chiffre était de 43%.
Le courrier électronique reste le premier vecteur de menace
Bien que les attaques par courrier électronique ne cessent d’évoluer, la technique reste pratiquement la même depuis des années. Les cybercriminels se font passer pour une entreprise connue, généralement en usurpant le nom de domaine de l’entreprise, et demandent un transfert ou des informations à un employé, qui croit avoir affaire à une personne légitime.
Le courrier électronique reste le premier vecteur de menace en France et dans le monde. Le rapport 2024 State of the Phish de Proofpoint a révélé que 66% des organisations françaises ont subi une attaque de phishing réussie en 2023. En outre, 62% des organisations françaises interrogées ont été la cible d’attaques de type BEC (Business Email compromise) en 2023.
Pour Loïc Guézo, directeur de la stratégie cybersécurité chez Proofpoint :
« Si la fraude par email concerne toutes les entreprises, certaines sont des cibles plus attractives que d’autres en raison de leur visibilité et de leur poids économique. Les géants du CAC 40, par exemple, sont des proies de choix pour les cybercriminels. Il est positif de voir que l’adoption de DMARC progresse dans le CAC 40 ».
