La plupart des incidents de sécurité qui trouvent leur origine dans un e-mail ne résultent pas d’une attaque sophistiquée. Ils commencent par un utilisateur qui n’a pas su reconnaître un message de hameçonnage, a cliqué sur un lien et a ainsi ouvert la porte à un pirate. Les mesures de sécurité techniques étaient bien en place. La faille résidait dans la manière dont elles étaient configurées, entretenues et mises en œuvre par des utilisateurs formés.
C'est précisément à cette réalité concrète INKY, le logiciel de sécurité des e-mails de Kaseya, est conçu pour répondre, et c'est pourquoi les pratiques présentées ci-dessous mettent l'accent sur ce qui réduit réellement les risques plutôt que sur ce qui fait bonne impression sur une liste de contrôle de conformité.
Pourquoi la sécurité des e-mails nécessite une attention constante
Une configuration effectuée une seule fois ne constitue pas une stratégie de sécurité. Les tactiques des attaquants évoluent plus rapidement que la plupart des organisations ne mettent à jour leurs défenses. Les attaquants s'adaptent aux filtres en place, identifient les failles et les exploitent.
Le rapport 2025 de Verizon sur les enquêtes relatives aux fuites de données a révélé que le facteur humain était en cause dans 60 % des incidents, le phishing étant la principale méthode d’ingénierie sociale utilisée. Les attaques à motivation financière s’appuient de plus en plus sur la technique dite de « Business Email Compromise » (BEC), qui ne génère ni pièce jointe ni lien malveillant susceptible d’être détecté par un filtre. Le message donne simplement l’impression de provenir d’un collègue ou d’un fournisseur de confiance formulant une demande plausible.
Cela signifie que les pratiques décrites ci-dessous ne sont pas des étapes que l'on peut mettre en place une fois pour toutes. Elles nécessitent des outils adaptés, une mise en œuvre rigoureuse et des utilisateurs qui savent quoi faire lorsqu'un problème semble se présenter.
Le coût d'une sécurité insuffisante des e-mails pour les entreprises
Les arguments financiers en faveur de l'investissement dans la sécurité des e-mails sont clairs : le coût d'une violation dépasse systématiquement, et de loin, celui de la prévention.
Selon le rapport d'IBM intitulé « Cost of a Data Breach Report 2025 », une violation de données liée au hameçonnage coûte en moyenne 4,88 millions de dollars à une entreprise. Ce chiffre englobe les coûts liés à la gestion de l'incident, les frais juridiques et de notification, les amendes réglementaires, la perte d'activité et l'atteinte à la réputation. Pour la plupart des PME, une violation de cette ampleur est irrémédiable.
Les attaques de type BEC sont particulièrement préjudiciables, car il n’y a souvent aucun indice technique permettant de les détecter, ni aucun moment où l’utilisateur a manifestement commis une erreur. Un employé qui a transféré des fonds après avoir reçu un e-mail convaincant semblant provenir du directeur financier a simplement fait ce qu’on lui demandait de faire. Le rapport 2024 du FBI sur la cybercriminalité fait état de 2,77 milliards de dollars de pertes liées aux attaques BEC, sur la base de plus de 21 000 plaintes. Étant donné que de nombreux incidents ne sont pas signalés, le chiffre réel est très certainement plus élevé.
Au-delà des pertes financières directes, les coûts induits s’accumulent rapidement. Une violation qui trouve son origine dans une boîte de réception non protégée peut entraîner des sanctions réglementaires au titre de la loi HIPAA, du RGPD et de la norme PCI DSS. Les demandes d’indemnisation au titre d’une cyberassurance liées à des incidents de messagerie électronique peuvent faire grimper les primes ou donner lieu à des litiges concernant la couverture si les contrôles de base n’étaient pas en place. Enfin, l’atteinte à la réputation résultant d’une violation rendue publique peut compromettre des relations clients qui ont mis des années à se construire.
Les 10 meilleures pratiques en matière de sécurité des e-mails
Une sécurité efficace des e-mails repose sur la mise en place d'un ensemble de mesures de contrôle adaptées et sur leur application rigoureuse. Les dix bonnes pratiques suivantes couvrent les principaux domaines de risque, de l'authentification et du filtrage au comportement des utilisateurs et à la surveillance des comptes.
1. Mettre en place l'authentification multifactorielle (MFA)
L'authentification multifactorielle est la mesure de sécurité la plus efficace pour empêcher tout accès non autorisé à un compte. Le vol de mot de passe est le vecteur d'attaque le plus courant visant les identifiants ; sans authentification multifactorielle, c'est tout ce dont un pirate a besoin pour prendre le contrôle d'une boîte de réception, accéder aux communications internes et mettre en place des règles de redirection qui persistent bien après la détection de la compromission initiale.
Appliquez l'authentification multifactorielle (MFA) à l'échelle de l'entreprise, sans exception pour les cadres dirigeants ou les comptes de service. Ceux-ci constituent souvent les cibles les plus importantes ; ils ont donc besoin d'une protection renforcée, et non d'une surveillance moins stricte. Privilégiez une application d'authentification plutôt que les SMS dans la mesure du possible, car les attaques par « SIM swapping » permettent d'intercepter les codes envoyés par SMS.
La mise en œuvre d'une architecture de sécurité des informations (MFA) est également de plus en plus souvent une condition préalable à l'éligibilité à une assurance cyber et au respect de la réglementation. Il est bien plus facile de la mettre en place de manière proactive que de la mettre en place a posteriori après une violation, et la plupart des assureurs cyber la considèrent désormais comme un contrôle de base plutôt que comme un simple atout supplémentaire.
2. Mettre en place les protocoles SPF, DKIM et DMARC
Trois protocoles d'authentification basés sur le DNS constituent le fondement technique de la vérification de l'expéditeur :
- Le SPF (Sender Policy Framework) définit quels serveurs de messagerie sont autorisés à envoyer des e-mails au nom d'un domaine. Tout message envoyé depuis un serveur ne figurant pas dans la liste échoue au contrôle SPF.
- Le protocole DKIM (DomainKeys Identified Mail) ajoute une signature cryptographique aux messages sortants. Les serveurs destinataires vérifient cette signature à l'aide d'une clé publique enregistrée dans le DNS du domaine expéditeur, ce qui permet de s'assurer que le message n'a pas été altéré pendant son acheminement.
- Le protocole DMARC (Domain-based Message Authentication, Reporting and Conformance) indique aux serveurs destinataires comment traiter les messages qui ne satisfont pas aux vérifications SPF et DKIM : les accepter, les mettre en quarantaine ou les rejeter. Il génère également des rapports indiquant qui envoie des e-mails prétendant provenir de votre domaine.
La publication de ces enregistrements est très simple. L'étape cruciale que la plupart des organisations négligent consiste à faire passer DMARC d'une politique de surveillance (p=none) à une politique d'application (p=quarantine ou p=reject). Sans application, les messages rejetés parviennent tout de même dans les boîtes de réception et les contrôles d'authentification n'offrent aucune protection réelle.
Les rapports DMARC permettent également de mettre en évidence toute utilisation non autorisée de votre domaine dans le cadre de campagnes ciblant vos propres utilisateurs ou partenaires — des informations précieuses auxquelles vous n'auriez pas accès sans ce système.
3. Ajouter une couche de sécurité dédiée à la messagerie électronique
Microsoft 365 et Google Workspace intègrent des systèmes de filtrage qui constituent une base de protection raisonnable contre les spams connus et certaines catégories de logiciels malveillants. Ces systèmes ne sont toutefois pas conçus pour détecter les menaces sophistiquées et ciblées. Les attaques de type BEC ne contiennent aucune charge utile à analyser. Les messages de hameçonnage générés par l’IA ne présentent aucun des schémas linguistiques que les anciens filtres avaient été entraînés à repérer. Les domaines similaires passent les contrôles d’authentification car ils sont techniquement légitimes.
Une solution anti-hameçonnage dédiée apporte la détection comportementale qui fait défaut aux outils natifs : analyse des relations avec l'expéditeur, signaux liés au ton et à l'urgence, inspection de la destination des liens, vision par ordinateur pour détecter l'usurpation d'identité de marques dans les images et détection des codes QR utilisés pour diffuser des liens d'hameçonnage. Ces capacités font toute la différence entre repérer un e-mail de spear-phishing bien conçu et le laisser atterrir sans être signalé dans la boîte de réception d'un cadre supérieur.
INKY une analyse basée sur l'IA générative (GenAI) aux e-mails entrants, sortants et internes, signalant les menaces que les systèmes basés sur les signatures ne détectent pas et affichant des bannières d'alerte directement dans la boîte de réception des utilisateurs afin qu'ils comprennent ce qui a déclenché le signalement et sachent comment réagir.
4. Effectuer régulièrement des simulations d'hameçonnage
Les simulations de hameçonnage permettent d'évaluer ce que la formation seule ne peut pas mesurer : le comportement réel des utilisateurs dans des conditions réalistes. Une entreprise peut avoir suivi l'intégralité de ses modules de formation annuels et compter malgré tout une part importante d'utilisateurs qui, sous la pression du temps, cliqueront sur un lien d'hameçonnage bien conçu.
Des simulations régulières, organisées au moins une fois par trimestre avec des scénarios reflétant les tendances actuelles en matière d'attaques, permettent d'identifier les personnes ayant besoin d'un accompagnement supplémentaire et d'instaurer progressivement un esprit de méfiance. Il est essentiel de noter qu'elles sont plus efficaces lorsqu'elles ne revêtent pas un caractère punitif. Les utilisateurs qui cliquent sur un lien de hameçonnage simulé doivent voir s'afficher immédiatement une explication contextuelle de ce qu'ils n'ont pas remarqué et pourquoi, puis être redirigés vers un module de correction succinct.
BullPhish ID, l'outil de formation à la sensibilisation à la sécurité de Kaseya, comprend une bibliothèque de kits de simulation de campagnes de hameçonnage mise à jour chaque mois afin de refléter les menaces actuelles. Les campagnes peuvent être programmées pour être envoyées à des moments aléatoires au cours d'une plage horaire définie, ce qui empêche les utilisateurs d'alerter leurs collègues qu'une simulation est en cours et permet d'obtenir une image plus précise de la vulnérabilité réelle.
5. Veiller à ce que la formation à la sensibilisation à la sécurité des e-mails soit toujours à jour
Une formation annuelle à la sécurité, c'est mieux que rien, mais cela ne suffit pas. Les techniques d'attaque évoluent trop rapidement pour qu'une mise à niveau annuelle puisse suivre le rythme. Un utilisateur ayant suivi une formation en janvier n'en garde pratiquement plus aucun souvenir en octobre et n'a absolument aucune idée du contexte des menaces apparues après l'enregistrement de la formation.
Des sessions de formation courtes et fréquentes, axées sur les tendances actuelles en matière d'attaques, s'avèrent plus efficaces. Des modules mensuels abordant les types de menaces récentes, les nouvelles techniques de hameçonnage et les dernières tactiques d'ingénierie sociale permettent de maintenir la vigilance sans entraîner de lassitude vis-à-vis de la formation. L'objectif est d'instaurer une culture de la sécurité dans laquelle les collaborateurs considèrent la reconnaissance des menaces comme faisant partie intégrante de leur quotidien, et non comme une simple case à cocher pour se conformer à la réglementation.
Le rapport DBIR 2025 de Verizon a révélé que la vulnérabilité au phishing diminue considérablement dans les entreprises disposant de programmes de formation réguliers, les équipes bien formées affichant des taux de vulnérabilité inférieurs à 5 %, contre une moyenne sectorielle d'environ 33 %.
Grâce à BullPhish IDmodules vidéo concis, ses quiz en ligne et ses processus automatisés de formation de rattrapage, BullPhish IDpermet d’organiser facilement des formations régulières à l’échelle de l’entreprise sans alourdir la charge de travail de l’équipe chargée de leur mise en œuvre.
6. Chiffrer les communications par e-mail contenant des informations sensibles
Le protocole TLS (Transport Layer Security) chiffre les messages transitant entre les serveurs de messagerie, ce qui offre une protection contre toute interception au niveau du réseau. Pour la plupart des organisations, s'assurer que le protocole TLS est bien appliqué aux e-mails sortants destinés à leurs principaux partenaires et clients constitue un premier pas concret.
Pour les communications qui transitent régulièrement des données réglementées, des informations financières ou des documents clients sensibles, le chiffrement de bout en bout via S/MIME ou PGP offre une protection renforcée. Avec S/MIME, le message est chiffré depuis le client de l'expéditeur jusqu'au client du destinataire, ce qui signifie que même le fournisseur de messagerie ne peut pas en lire le contenu.
Pour les organisations des secteurs de la santé, des services financiers ou des services juridiques, le chiffrement est souvent une exigence réglementaire, et non une simple recommandation en matière de sécurité. Identifier les communications qui transportent régulièrement des données soumises à une réglementation et s'assurer qu'un chiffrement approprié est en place constituent un moyen simple de réduire à la fois le risque de violation de données et l'exposition aux sanctions réglementaires.
7. Mettre en place un système de prévention des pertes de données (DLP)
La plupart des mesures de sécurité des e-mails se concentrent sur les menaces entrantes, mais les e-mails sortants constituent également une source de risque importante. La divulgation accidentelle de données sensibles, le transfert par un employé d’informations confidentielles vers un compte personnel ou l’utilisation par un pirate d’une boîte mail compromise pour exfiltrer des données peuvent tous entraîner de graves problèmes de conformité et nuire à la réputation de l’entreprise.
Les outils DLP analysent les e-mails sortants à la recherche de motifs associés à des données réglementées ou sensibles : numéros de carte bancaire, numéros de Sécurité sociale, identifiants de dossiers médicaux et types de documents spécifiques. Lorsqu'un message correspond à une règle définie, il peut être signalé, mis en quarantaine ou bloqué avant de quitter l'environnement.
Pour les entreprises soumises aux normes HIPAA, PCI DSS, RGPD ou à des cadres réglementaires similaires, la mise en place d'un système de prévention des fuites de données (DLP) sur les e-mails sortants constitue généralement une exigence de conformité. Même en dehors des secteurs réglementés, les politiques DLP offrent une protection efficace contre la divulgation accidentelle de données et les conséquences juridiques et en termes de réputation qui en découlent.
8. Appliquer le principe du « privilège minimal » à l'accès aux e-mails
Tous les employés n'ont pas nécessairement besoin d'accéder à toutes les boîtes aux lettres partagées, listes de diffusion ou fonctions d'administration des e-mails. Un accès trop large augmente inutilement l'ampleur des répercussions en cas de compromission d'un seul compte.
Vérifiez et contrôlez régulièrement les droits d'accès à la messagerie. Les boîtes aux lettres partagées ne doivent être accessibles qu'aux utilisateurs qui en ont besoin. L'accès administrateur à la configuration de la messagerie doit être limité aux personnes chargées de la gestion de l'infrastructure de messagerie. Les listes de diffusion doivent être verrouillées afin que seuls les expéditeurs autorisés puissent leur envoyer des e-mails.
Lorsqu'un salarié quitte l'entreprise ou change de poste, ses droits d'accès à la messagerie électronique doivent être mis à jour dans le cadre de la procédure de départ ou de changement de poste, et ne doivent pas rester en vigueur indéfiniment. Les droits d'accès obsolètes constituent l'un des moyens les plus courants utilisés par les attaquants pour conserver un accès longtemps après la détection d'une première intrusion.
9. Mettre en place une procédure de signalement des messages suspects
Les utilisateurs qui repèrent quelque chose d'inhabituel ont besoin d'un moyen rapide et simple de le signaler. Si le signalement implique de passer par un processus de ticket en plusieurs étapes ou d'envoyer un e-mail à une adresse dont la réponse peut prendre plusieurs jours, les utilisateurs finiront par ne plus s'en donner la peine. Cela prive l'équipe informatique d'un signal de détection précieux et expose les autres utilisateurs au même message.
Un processus de signalement bien conçu comprend un mécanisme de signalement en un clic accessible directement depuis le client de messagerie, un accusé de réception envoyé à l'utilisateur pour l'informer que son signalement a bien été reçu, ainsi qu'un délai de réponse défini pour l'examen des messages signalés. Lorsqu'un message signalé est confirmé comme malveillant, l'équipe informatique doit être en mesure d'extraire les messages similaires des autres boîtes de réception et de mettre à jour rapidement les règles de détection.
Cette boucle de rétroaction entre les utilisateurs et l'équipe informatique est l'un des aspects les plus négligés dans la plupart des configurations de sécurité des e-mails. Les bannières d'avertissement qui expliquent pourquoi un message semble suspect et invitent les utilisateurs à le signaler augmentent considérablement le volume et la qualité des signalements de menaces reçus par l'équipe de sécurité.
10. Surveiller les signes indiquant que le compte de messagerie a été piraté
Les mesures techniques et la formation des utilisateurs réduisent le risque de piratage d'un compte, mais ne l'éliminent pas pour autant. Lorsqu'un compte est piraté, le délai entre le piratage initial et sa détection détermine l'ampleur des dégâts que l'attaquant peut causer.
Plusieurs signes comportementaux précèdent souvent ou suivent immédiatement la compromission d'un compte :
- Création de nouvelles règles de transfert de courrier, notamment celles qui transfèrent vers des adresses externes
- Activité de connexion inhabituelle : nouvelles zones géographiques, sessions simultanées depuis différents pays, connexions à des heures inhabituelles
- Envoi massif d'e-mails à partir d'un compte qui n'est normalement pas utilisé pour ce type d'envois
- Modifications apportées à la délégation ou aux autorisations de la boîte aux lettres
- Changements de mot de passe non effectués par le titulaire du compte
La surveillance de ces signaux et la mise en place d'un processus de réponse bien défini, comprenant notamment la réinitialisation forcée du mot de passe et la révocation des sessions actives en cas de détection d'une activité suspecte, permettent de réduire considérablement la durée d'exposition. De nombreuses attaques visant à prendre le contrôle d'un compte passent inaperçues pendant des semaines, car personne ne surveille ces signaux tant que l'attaquant n'a pas commis d'action visible.
Comment ces pratiques s'articulent entre elles
Chaque mesure porte sur un aspect différent du spectre des risques et aucune d’entre elles ne fonctionne de manière isolée. L’authentification multifactorielle (MFA) empêche le vol d’identifiants de déboucher sur une prise de contrôle de compte. Les protocoles d’authentification empêchent l’usurpation de domaine. La sécurité dédiée aux e-mails détecte les menaces qui parviennent à passer l’authentification. Les simulations de hameçonnage évaluent et renforcent la résilience des utilisateurs. Les solutions de prévention des fuites de données (DLP) et les contrôles d’accès limitent les actions qu’un attaquant peut mener avec un compte compromis. Les processus de signalement et la surveillance des compromissions bouclent la boucle.
Les organisations qui commettent cette erreur ont généralement mis en place certains contrôles, mais ceux-ci présentent des lacunes. L'authentification multifactorielle (MFA) est déployée sur la plupart des boîtes mail, mais pas sur les comptes de service. Le DMARC est configuré avec p=none et n'a jamais été mis en mode « enforcement ». Une formation est dispensée une fois par an, mais n'est pas renforcée par des simulations. Un seul maillon faible dans cette chaîne suffit à un attaquant.
C'est précisément pour maintenir cette approche de manière cohérente, quel que soit l'utilisateur, l'appareil ou la période, que la plupart des organisations rencontrent des difficultés. L'important n'est pas tant les outils dont vous disposez, mais plutôt de savoir s'ils sont correctement configurés, mis à jour et pris en charge par des utilisateurs qui savent quoi faire lorsqu'un problème semble se présenter.
Les erreurs courantes qui compromettent la sécurité des e-mails
Savoir ce qu'il ne faut pas faire est tout aussi utile que la liste des bonnes pratiques elle-même. Voici les lacunes qui apparaissent le plus souvent dans les environnements ayant connu un incident de sécurité dont l'origine remonte à un e-mail :
- Considérer l'authentification multifactorielle (MFA) comme facultative pour les utilisateurs de haut niveau : les cadres dirigeants constituent des cibles prioritaires pour les attaques de type BEC. La suppression ou le contournement de l'authentification multifactorielle (MFA) pour des raisons de commodité est l'un des moyens les plus courants par lesquels les entreprises créent leurs comptes les plus exposés aux risques.
- Laisser DMARC sur « p=none » indéfiniment : la publication d'enregistrements DMARC sans passer à une politique de rejet ou de mise en quarantaine n'offre aucune protection. Cela indique simplement que vous effectuez un suivi. Un attaquant qui usurpe votre domaine réussira tant que l'application de la politique sera désactivée.
- Se fier uniquement aux fonctionnalités de filtrage natives de Microsoft 365 ou de Google Workspace : le filtrage natif gère efficacement les menaces connues et à fort volume. Il n’est toutefois pas conçu pour faire face aux attaques de hameçonnage générées par l’IA, aux attaques BEC ciblées ou aux attaques par domaines similaires. Considérer que cela suffit laisse une lacune importante en matière de détection.
- Réaliser des simulations de hameçonnage sans suivi : une simulation qui identifie les utilisateurs qui cliquent mais qui n'offre aucun accompagnement immédiat n'a qu'une valeur limitée. L'apprentissage se fait sur le moment, et non dans un rapport de fin de mois.
- Négliger les e-mails sortants : se concentrer exclusivement sur les menaces entrantes revient à passer à côté de l'exfiltration de données, des activités liées à des comptes compromis et de la divulgation accidentelle de données sensibles via les envois sortants.
- Ne pas vérifier les droits d'accès après un changement de poste : les employés qui changent de poste ou quittent l'entreprise conservent souvent l'accès à leur messagerie pendant des mois. Vérifiez les droits d'accès dans le cadre du processus de départ, et non comme une tâche de sécurité périodique.
Renforcez la sécurité de vos e-mails avec Kaseya
INKY est le logiciel de sécurité des e-mails de Kaseya. Il utilise une analyse basée sur l’IA générative pour détecter les tentatives d’hameçonnage et autres menaces dans les e-mails entrants, sortants et internes, et affiche dans la boîte de réception des bannières d’alerte interactives qui expliquent aux utilisateurs pourquoi un message a été signalé et quelle action entreprendre. Cet accompagnement en temps réel renforce la sensibilisation à la sécurité sans nécessiter de sessions de formation distinctes.
BullPhish ID est le logiciel de formation à la sensibilisation à la sécurité et de simulation d'hameçonnage de Kaseya. Il combine des modules de formation captivants et concis avec une bibliothèque régulièrement mise à jour de kits de simulation d'hameçonnage, ainsi qu'une formation corrective automatisée pour les utilisateurs qui ont besoin d'un accompagnement supplémentaire.
Ces deux solutions sont disponibles dans le cadre de Kaseya 365 , qui propose un ensemble complet d'outils permettant de se protéger contre les menaces ciblant les utilisateurs, d'y répondre et de se remettre de leurs conséquences. La suite comprend INKY, BullPhish ID, Dark Web ID la surveillance des identifiants, SaaS Alerts la détection et la réponse aux menaces dans le cloud, ainsi que Datto SaaS Protection la sauvegarde de Microsoft 365 et Google Workspace.
Pour les entreprises qui gèrent elles-mêmes la sécurité de leur messagerie, Kaseya 365 regroupe les principaux outils de contrôle en un seul endroit, ce qui réduit la complexité liée à la gestion de multiples solutions ponctuelles. Pour les prestataires de services gérés (MSP), l'architecture multi-locataires permet de déployer et de gérer les mêmes outils pour l'ensemble de leur clientèle à partir d'une interface unique, avec des politiques et des rapports cohérents dans tous les environnements.
