En octobre 2022, la société Proofpoint a réalisé une analyse des enregistrements DMARC (Domain-based Message Authentication, Reporting and Conformance) de l’ensemble des entreprises du CAC 40.

Ce protocole d’authentification des messages électroniques est conçu pour protéger les noms de domaine contre une utilisation abusive par les cybercriminels. Il authentifie l’identité de l’expéditeur avant de permettre à un message d’atteindre sa destination.

D’après les résultats d’analyse, 65 % des plus grandes entreprises françaises n’auraient pas un niveau de protection assez important contre le risque de fraude par email, pourtant premier vecteur de cyberattaques.

Les principales conclusions sont les suivantes :

• 9 entreprises du CAC 40 (22 %) n’ont aucun enregistrement DMARC et n’ont donc pas pris les mesures nécessaires pour empêcher l’utilisation frauduleuse de leur nom de domaine. L’analyse dénote tout de même une amélioration ; en 2021, ce sont 23 % des entreprises du CAC 40 qui n’avaient aucun enregistrement DMARC.
• 17 entreprises du CAC 40 (43 %) ont pris les mesures initiales en publiant un enregistrement DMARC, mais n’assurent aucun rôle actif de protection, uniquement un niveau de surveillance ou de mise en quarantaine minimale.
• 14 entreprises du CAC 40 (35 %) ont mis en œuvre le niveau de protection recommandé et le plus strict (rejet), qui empêche activement les emails frauduleux d’atteindre leurs cibles. Il y a une nette amélioration puisque ce chiffre était de 15 % l’année dernière.

« L’email est devenu l’outil de communication incontournable des entreprises, et le vecteur principal d’attaques cyber. Les conséquences peuvent être désastreuses pour l’entreprise, le risque étant le vol de données sensibles mais aussi les dommages réputationnels pour l’entreprise, avec des pertes financières qui se chiffreraient en millions d’euros; les entreprises doivent donc tout mettre en œuvre pour se protéger » explique Loïc Guézo, directeur de la stratégie cyber pour la région SEMA chez Proofpoint.

Plus d'informations dans ce billet sur le blog de Proofpoint