Pourquoi le phishing passe encore, malgré votre antispam
Le filtrage anti-courrier indésirable de Microsoft 365 arrête l'essentiel des envois de masse. Il arrête beaucoup moins bien ce qui est ciblé : un message écrit correctement, envoyé depuis un domaine crédible, qui parle d'une facture réelle et n'embarque ni pièce jointe suspecte ni lien vers un site connu comme malveillant.
Ce type de message n'a rien de techniquement anormal. C'est un mail ordinaire dont le contenu est mensonger. Aucun filtre ne le détecte de manière fiable, et c'est précisément celui qui coûte cher.
D'où une conséquence directe sur la méthode : il ne s'agit pas d'empiler des outils, mais de fermer une série de portes distinctes. L'usurpation de votre domaine, l'analyse des liens et des pièces jointes, la compromission de compte, la validation des paiements et le réflexe humain.
Par quelles mesures commencer, et dans quel ordre ?
Ce tableau est notre ordre de priorité par défaut. La première colonne indique ce que la mesure bloque réellement, ce qui évite de croire qu'un point couvre le suivant.
| Priorité | Mesure | Ce qu'elle bloque | Effort | Coût licence |
|---|---|---|---|---|
| 1 | MFA sur tous les comptes, sans exception administrateur | La réutilisation d'un mot de passe volé | Faible à moyen | Inclus |
| 2 | SPF correctement déclaré | L'envoi de mails depuis des serveurs non autorisés à votre nom | Faible | Inclus |
| 3 | DKIM activé sur chaque domaine | La modification d'un message en transit et l'usurpation | Faible | Inclus |
| 4 | DMARC en surveillance puis en rejet | L'usurpation de votre domaine auprès de vos clients | Moyen — surveillance d'abord | Inclus |
| 5 | Blocage du transfert automatique externe | L'exfiltration silencieuse après compromission | Faible | Inclus |
| 6 | Defender for Office 365 : liens fiables et pièces jointes fiables | Les liens armés après envoi et les pièces jointes inconnues | Moyen | Business Premium, E5 ou option |
| 7 | Procédure de validation des paiements hors messagerie | La fraude au président et au faux fournisseur | Faible — mais décision de direction | Inclus |
| 8 | Simulations de phishing et signalement en un clic | Le clic réflexe et le silence après incident | Continu | Selon l'outil retenu |
Les mesures 2, 3, 4 et 5 ne coûtent rien d'autre que du temps de paramétrage. C'est la raison pour laquelle elles arrivent avant l'achat de toute licence supplémentaire.
SPF, DKIM et DMARC expliqués sans jargon
Ces trois enregistrements se posent dans la zone DNS de votre nom de domaine, chez votre hébergeur ou votre registrar. Ils servent à prouver aux serveurs de messagerie du monde entier qu'un message se réclamant de votre domaine vient bien de chez vous.
SPF est la liste des serveurs autorisés à envoyer du courrier en votre nom. Si un serveur inconnu envoie un mail signé de votre domaine, le destinataire peut le rejeter. Piège classique : oublier d'y inclure votre outil d'emailing, votre logiciel de facturation ou votre CRM, qui envoient eux aussi en votre nom.
DKIM ajoute une signature cryptographique à chaque message sortant. Le destinataire vérifie que le message n'a pas été modifié en route et qu'il provient bien du domaine annoncé. L'activation se fait dans le centre de sécurité Microsoft, avec deux enregistrements DNS à publier.
DMARC est la règle qui dit au destinataire quoi faire quand SPF et DKIM échouent : ne rien faire, mettre en quarantaine, ou rejeter. C'est aussi le mécanisme qui vous envoie des rapports sur les envois usurpant votre domaine.
La séquence prudente est toujours la même : SPF et DKIM d'abord, DMARC en mode surveillance pendant quatre à six semaines pour identifier tous vos émetteurs légitimes, puis durcissement progressif vers le rejet. Passer directement en rejet fait disparaître des mails légitimes, typiquement vos relances de facturation.
Qu'apporte Defender, et qu'est-ce qu'il n'apporte pas ?
Defender for Office 365 apporte deux fonctions que le filtrage de base n'a pas. La première réécrit les liens contenus dans les mails et les revérifie au moment du clic, ce qui contre les attaques où le site devient malveillant après l'envoi. La seconde ouvre les pièces jointes inconnues dans un environnement isolé avant livraison.
S'y ajoutent des politiques anti-usurpation, qui détectent qu'un message se présente comme venant de votre dirigeant alors qu'il vient de l'extérieur, et un bandeau d'avertissement sur les expéditeurs externes.
Ce que Defender ne fait pas : juger de la légitimité d'une demande. Un mail sans lien ni pièce jointe, envoyé depuis une boîte réellement compromise chez un de vos fournisseurs, demandant un changement de coordonnées bancaires, passera. La parade est organisationnelle, pas technique. Le paramétrage complet de cette brique est traité dans notre page sécurité Microsoft 365.
Règles de transfert et fraude au président : les deux angles morts
Après avoir volé un mot de passe, l'attaquant ne fait généralement rien de visible. Il crée une règle qui copie les messages vers une adresse externe et les range dans un dossier ignoré, puis il observe. Il apprend le vocabulaire de l'entreprise, les noms des fournisseurs, le calendrier des paiements. L'attaque arrive des semaines plus tard, parfaitement crédible.
Trois contrôles ferment cet angle mort : bloquer par défaut le transfert automatique vers l'extérieur, auditer périodiquement les règles de boîte du tenant, et alerter sur la création de toute nouvelle règle de transfert externe.
La fraude au président et la fraude au faux fournisseur se traitent, elles, par une règle interne écrite : tout changement de coordonnées bancaires et tout virement au-dessus d'un seuil défini se valident par un canal différent de celui de la demande, avec un numéro de téléphone déjà connu et non celui figurant dans le mail. Cette règle doit protéger explicitement le collaborateur qui refuse d'exécuter un ordre urgent venu de la direction.
Comment nous travaillons sur ce sujet
L'intervention se déroule en quatre étapes, sans coupure de messagerie.
- Diagnostic (30 minutes). Vérification publique de vos enregistrements SPF, DKIM et DMARC, revue des politiques anti-hameçonnage actives et recherche des règles de transfert externes existantes.
- Correctifs immédiats (une demi-journée à une journée). Mise à niveau SPF et DKIM, activation de DMARC en surveillance, blocage du transfert automatique externe, contrôle de la couverture MFA.
- Durcissement (quatre à six semaines). Analyse des rapports DMARC, intégration des émetteurs légitimes oubliés, passage en quarantaine puis en rejet, activation des liens et pièces jointes fiables si votre licence les couvre.
- Ancrage (continu). Procédure de validation des paiements rédigée avec la direction financière, bouton de signalement déployé, campagnes de simulation. Le volet humain est détaillé dans notre page adoption et formation.
Le point qui peut mal se passer est connu : un DMARC passé trop vite en rejet, ou un SPF incomplet, fait disparaître des mails sortants légitimes sans avertissement visible. C'est pourquoi la phase de surveillance n'est pas négociable. Si votre entreprise entre dans le périmètre de la directive NIS2, ces mesures constituent une partie du socle attendu, comme expliqué dans notre page conformité NIS2.
Sur les simulations, nous privilégions ce que votre tenant couvre déjà : les plans Defender for Office 365 les plus complets embarquent une fonction d'entraînement à la simulation d'attaque, ce qui évite un abonnement supplémentaire. À défaut, une solution tierce est retenue avec vous. Le rythme compte davantage que l'outil : une campagne isolée ne change rien, une cadence régulière fait remonter les tentatives plus vite.
