Proofpoint, leader en matière de cybersécurité et conformité, a publié sa nouvelle analyse des enregistrements DMARC (Domain-based Message Authentication, Reporting and Conformance) de l’ensemble des entreprises du CAC 40.

L’étude révèle notamment que plus de la moitié d’entre elles (57 %) n’auraient pas un niveau de protection assez important contre le risque de fraude par email. En novembre 2022, ce chiffre était de 65%, ce qui montre une légère amélioration de la cybersécurité des entreprises françaises.

Le rapport State of the Phish 2023 de Proofpoint montrait en effet que les attaques par courriel sont restées la principale menace pour les entreprises. En France, huit entreprises interrogées sur dix auraient ainsi subi au moins une attaque par hameçonnage (« phishing ») réussie l’an dernier.

Pour parer à ce type d’attaque, les entreprises peuvent donc appliquer le standard DMARC, un protocole d’authentification des messages électroniques conçu pour protéger les noms de domaine contre une utilisation abusive par les cybercriminels.

Les principales conclusions sont les suivantes :

• L’adoption du DMARC par les entreprises du CAC 40 est en hausse. Cette année, 36 des 40 entreprises du CAC (90 %) ont publié un enregistrement DMARC, contre 78 % en 2022 et 77 % en 2021.

• Si l’amélioration est notable d’année en année, 4 entreprises (10 %) du CAC 40 (contre 9 – 22 % — en 2022) n’ont à ce jour toujours pas d’enregistrement DMARC, exposant donc, sans aucune surveillance minimale, l’ensemble de leur écosystème partenaires, clients et fournisseurs à la fraude par email. À noter qu’en 2021, 23 % des entreprises du CAC 40 n’avaient pas d’enregistrement DMARC.

• 19 entreprises (48 %) du CAC 40 (contre 17 — soit 43 % — en 2022) ont pris les mesures initiales en publiant un enregistrement DMARC, mais n’assurent aucun rôle actif de protection, uniquement un niveau de surveillance et de mise en quarantaine minimale.

• Enfin, parmi les 36 entreprises du CAC ayant publié un enregistrement DMARC, 17 (43 %) d’entre elles (contre 14 — soit 35 % — en 2022) ont mis en œuvre le niveau de protection recommandé et le plus strict (rejet), qui empêche activement les courriers électroniques frauduleux d’atteindre leurs cibles.

Il s’agit d’une amélioration significative par rapport à 2021, où seulement 15 % étaient au niveau « rejet ». La protection s’améliore donc, mais plus de la moitié des entreprises du CAC 40 (57 %) laisse encore leurs clients exposés à un risque possible d’hameçonnage par courriel prétendant provenir de leurs domaines.

Le rapport State of the Phish 2023 de Proofpoint montre en effet que les attaques par courriel sont restées la principale menace pour les entreprises, et en France, huit sur dix auraient subi au moins une attaque par hameçonnage (« phishing ») réussie l’an dernier.

« Pour les grandes entreprises, c’est la protection de leur chaîne de valeur qui en dépend.

Appliquer les bonnes pratiques au sommet peut encourager tout un écosystème à adopter des principes fondamentaux pour la cybersécurité, incluant le protocole d’authentification DMARC et les mesures supplémentaires de certification d’origine des courriels telles que le sceau « BIMI » (Brand Indicators for Message Identification) 

— uniquement ouvert aux noms de domaines protégés par DMARC — et qui permet aux entreprises d’afficher leurs logos directement au niveau de la boîte de messagerie de leurs destinataires, à côté du nom de l’émetteur. » précise Loïc Guézo, directeur de la stratégie cyber pour la région SEMA chez Proofpoint.

Vous pourrez retrouver l’ensemble de cette analyse sur ce blog.