L’usurpation d’email reste l’angle d’attaque le plus rentable contre les PME et ETI : il suffit qu’un message paraisse provenir d’une administration ou d’un partenaire pour qu’une équipe livre des données clients sans poser de question. Un incident récent chez un acteur majeur de la fintech l’a rappelé : des escrocs ont adressé de fausses réquisitions en se faisant passer pour une agence gouvernementale, et les contrôles de sécurité en place ont laissé passer les messages. Résultat : des données KYC (identité, justificatifs) transmises directement aux attaquants. Ce tutoriel détaille la procédure de vérification à appliquer avant de répondre à toute demande officielle.
Pourquoi l’usurpation d’email contourne vos filtres
Beaucoup d’équipes pensent qu’un filtre anti-spam suffit. C’est faux : l’usurpation d’email moderne ne repose plus sur des pièces jointes malveillantes, mais sur la crédibilité du contexte. Les attaquants exploitent trois failles structurelles :
- L’authentification d’expéditeur incomplète : si le domaine usurpé n’a pas de politique DMARC en
p=reject, ou si votre passerelle ne vérifie que SPF, le message passe. - Les domaines voisins : lookalike domains et sous-domaines plausibles (tirets, extensions différentes) qui passent leurs propres contrôles SPF/DKIM car ils appartiennent réellement à l’attaquant.
- L’urgence procédurale : une réquisition judiciaire ou une demande de conformité crée une pression légale qui court-circuite la vérification. Personne ne veut être celui qui fait attendre un magistrat.
Le point critique est là : ce n’est pas un problème technique isolé, c’est un défaut de procédure. La technique réduit le volume, la procédure bloque le cas qui passe.
Étape 1 : verrouiller l’authentification email entrante
Commencez par la couche technique, qui élimine la majorité des tentatives d’usurpation d’email grossières.
Vérifier DMARC sur les domaines entrants
Votre passerelle doit rejeter — pas simplement marquer — les messages qui échouent à DMARC lorsque le domaine expéditeur publie une politique stricte. Vérifiez la politique d’un domaine depuis un poste Linux :
dig +short TXT _dmarc.exemple-gouv.frpour lire la politique publiée.dig +short TXT exemple-gouv.frpour contrôler l’enregistrement SPF.
Si le domaine légitime publie p=reject et que le message est arrivé quand même, votre passerelle ne l’applique pas : c’est le premier correctif à demander à votre prestataire.
Activer l’alerte « expéditeur externe »
Ajoutez une bannière visible sur tout message provenant de l’extérieur de l’organisation, et une bannière renforcée quand le nom affiché ressemble à celui d’un dirigeant ou d’une administration. Microsoft 365 et Google Workspace le proposent nativement. C’est trivial à déployer et cela casse l’automatisme du lecteur.
Bloquer les domaines voisins
Constituez une liste des variations de vos propres domaines et des domaines partenaires sensibles, et mettez-les en quarantaine automatique. Les services de surveillance de domaines remontent les enregistrements récents, qui sont ceux qui servent aux campagnes actives.
Étape 2 : imposer un canal de rappel hors bande
Aucune donnée personnelle, aucun virement, aucun accès ne doit être accordé sur la seule foi d’un email. La règle doit être écrite et opposable :
- Rappel obligatoire sur un numéro trouvé indépendamment — annuaire officiel, site institutionnel, contrat signé — jamais le numéro figurant dans le message.
- Aucune exception pour l’urgence : une demande authentique survit à trente minutes de vérification. Une demande frauduleuse, non.
- Traçabilité : la personne qui valide consigne la date, l’interlocuteur rappelé et le canal utilisé. Cela protège aussi le collaborateur.
Pour les réquisitions judiciaires ou administratives, ajoutez une étape juridique : la demande passe par le référent conformité ou le conseil, qui vérifie la forme de l’acte (référence de procédure, autorité émettrice, cadre légal invoqué) avant toute transmission.
Étape 3 : réduire ce qu’une seule réponse peut exposer
Même avec une procédure solide, une erreur finira par passer. L’objectif devient alors de limiter le volume exposé en un seul geste.
- Cloisonner les exports : aucun collaborateur du support ne doit pouvoir exporter l’intégralité d’une base clients. Les exports massifs passent par une validation à deux personnes.
- Journaliser et alerter : toute extraction de données personnelles au-delà d’un seuil déclenche une alerte SOC. C’est le contrôle qui transforme une fuite silencieuse en incident détecté dans l’heure.
- Minimiser les pièces sensibles : les justificatifs d’identité ne devraient pas être consultables en masse par les équipes de première ligne.
Étape 4 : entraîner sur le scénario réel
Les campagnes de sensibilisation classiques testent le clic sur un lien. Le scénario d’usurpation d’email qui fait mal en 2026 est différent : pas de lien, pas de pièce jointe, juste une demande écrite crédible adressée à une équipe support ou comptabilité. Construisez un exercice sur ce modèle :
- Un message se présentant comme une autorité, sans URL ni fichier joint.
- Une demande de transmission de documents, avec une échéance courte.
- Mesure du résultat : combien d’équipes ont appliqué le rappel hors bande, et non combien ont « cliqué ».
Le même raisonnement s’applique aux autres vecteurs d’accès : voir notre analyse sur le phishing ciblant les passkeys et celle sur la sécurisation des accès distants.
Ce qu’il faut retenir
L’usurpation d’email ne se corrige pas avec un seul réglage. Elle se traite en couches : DMARC appliqué en rejet, bannières d’expéditeur externe, domaines voisins en quarantaine, puis une procédure de rappel hors bande écrite et sans exception, et enfin un cloisonnement des exports pour que l’erreur inévitable reste petite. Une demande officielle qui refuse la vérification n’est pas urgente : elle est fausse.
Pour transformer ce risque en preuve de conformité, consultez notre checklist NIS2 pour PME.