Messagerie & fraude

Sécuriser la messagerie d'entreprise

Presque toutes les attaques commencent par un message. Deux réponses coexistent : former les personnes — que nous traitons ailleurs — et rendre techniquement difficile l'usurpation de votre domaine. C'est ce second volet, souvent négligé, dont il est question ici.

L'enjeu

Votre domaine est une signature — encore faut-il la protéger

Sans configuration explicite, n'importe qui peut envoyer un message qui semble venir de votre domaine. Les trois enregistrements qui l'empêchent — SPF, DKIM, DMARC — existent depuis longtemps, mais restent fréquemment incomplets, ou publiés en mode observation, ce qui revient à constater l'usurpation sans la bloquer.

Le second angle mort est le flux sortant. Une organisation dont le domaine est usurpé voit sa réputation se dégrader, ses messages légitimes finir en indésirables, et ses partenaires recevoir des demandes de paiement frauduleuses en son nom. Le préjudice est autant commercial que technique.

Le troisième est la réaction. Quand un message malveillant a franchi le filtre et atteint des boîtes, la seule question qui compte est : en combien de temps sait-on qu'il est là, et peut-on le retirer partout ? Cela suppose un canal de signalement simple et une capacité de retrait, pas seulement un filtre performant.

Ce qui est en jeu

Domaine usurpable faute de DMARC en rejet
Messages légitimes classés en indésirables, réputation dégradée
Demandes de virement frauduleuses au nom de la direction
Signalement compliqué, donc incidents découverts trop tard
Aucun moyen de retirer un message déjà distribué

Schéma

Chaque étape écarte ce que la précédente a laissé passer

L'authentification écarte l'usurpation, le filtrage le volume, l'analyse le contenu piégé. Ce qui subsiste dépend du signalement — et de la capacité à retirer un message déjà distribué.

Notre approche

Comment nous procédons

On commence par l'authentification du domaine, qui produit le gain le plus net pour l'effort le plus faible.

État des lieux du domaine

Relevé des enregistrements existants, des services autorisés à envoyer en votre nom — outils marketing, applications métier, prestataires — et de ce qui usurpe déjà le domaine.

Authentification en rejet

Mise en conformité de SPF et DKIM pour tous les expéditeurs légitimes, puis passage progressif de DMARC en rejet, sous surveillance des rapports pour ne bloquer aucun flux légitime.

Filtrage et durcissement

Réglage de la passerelle et des protections de la plateforme : analyse des pièces jointes et des liens, bannière sur les messages externes, règles ciblées sur les scénarios de fraude au paiement.

Signalement et retrait

Mise en place d'un bouton de signalement dans le client de messagerie, du circuit de traitement associé, et de la procédure de retrait d'un message déjà distribué.

Surveillance et exercice

Suivi des rapports DMARC et de la réputation du domaine, raccordement des alertes à la supervision, et campagne d'ingénierie sociale pour mesurer ce qui passe encore.

Services mobilisés

Plusieurs expertises, un seul interlocuteur

Le volet technique et le volet humain se valident l'un l'autre : une campagne mesure ce que le filtrage laisse réellement passer.

Solutions de cybersécurité Ingénierie sociale Sensibilisation & formations SOC

Livrables

Inventaire des expéditeurs légitimes du domaine
SPF, DKIM et DMARC en rejet, documentés
Configuration de filtrage et règles anti-fraude
Circuit de signalement et procédure de retrait
Suivi des rapports DMARC et de la réputation

Questions fréquentes

C'est le risque réel, et c'est pourquoi on ne le fait jamais d'emblée. On commence en observation, on lit les rapports pour recenser tous les services qui envoient en votre nom, on les met en conformité, et le rejet ne vient qu'ensuite — souvent par paliers.

Il traite bien le volume. Il ne protège pas votre domaine contre l'usurpation vers l'extérieur — cela relève des enregistrements DNS — et ne dit rien de votre capacité à retirer un message déjà distribué. Ce sont trois sujets distincts.

Techniquement : anti-usurpation, bannière sur les messages externes, règles sur les domaines ressemblants. Mais la mesure décisive est procédurale — toute modification de coordonnées bancaires se vérifie par un canal différent de celui qui l'a demandée.

La sensibilisation agit sur la personne qui reçoit ; ce chantier agit sur ce qui arrive jusqu'à elle et sur ce que votre domaine permet à un attaquant. Les deux se complètent : nous traitons le volet humain dans un cas d'usage dédié.

Quelqu'un peut-il écrire en votre nom ?

Un état des lieux du domaine se fait sans rien installer, et donne la réponse en quelques heures.

Nous contacter