Avec plus de 376 milliards d’emails échangés chaque jour dans le monde, la messagerie électronique est l’outil de communication professionnelle le plus utilisé. Sans surprise, les cybercriminels exploitent donc les emails pour mener des attaques contre les entreprises. Le CISA (agence américaine de cybersécurité) estime que 90 % des cyberattaques démarrent via l’envoi d’un email frauduleux.
Sécuriser vos emails n’est donc pas une option, mais une étape indispensable pour protéger votre PME des cybermenaces. Les protections proposées par défaut par les fournisseurs de messagerie se révèlent souvent insuffisantes face aux attaques les plus ciblées.
Dans cet article, vous découvrirez :
- pourquoi l’email est le premier vecteur de cyberattaque,
- les modes opératoires des cybercriminels qui ciblent votre messagerie,
- les mauvaises pratiques qui augmentent le niveau de risque,
- les bonnes pratiques à adopter pour sécuriser vos emails.
1. L’email, premier vecteur de cyberattaque
1.1 Un canal vulnérable
Votre messagerie professionnelle est connectée à l’ensemble de l’écosystème numérique de votre PME : espaces de stockage, applications métier… Elle sert aussi de point de récupération pour la quasi-totalité de vos mots de passe. Autrement dit, si un cybercriminel parvient à accéder à la boîte mail d’un collaborateur de votre entreprise, il peut alors accéder à tout le reste.
L’e-mail constitue une menace par nature. Il s’agit d’un contenant dont l’expéditeur peut se faire passer pour quelqu’un d’autre. Par ailleurs, son contenu peut être malveillant ou infecté. Ces deux caractéristiques font de l’email un vecteur d’attaque à la fois simple à exploiter et difficile à détecter.
1.2 Une menace industrialisée
Pendant des années, les emails frauduleux étaient rédigés manuellement par les cybercriminels. Ils étaient repérables à leurs fautes d’orthographe, leurs formulations maladroites ou leurs mises en page approximatives. Ce signal d’alerte a quasiment disparu. L’IA générative permet aujourd’hui aux acteurs malveillants de produire des messages parfaitement rédigés, personnalisés au contexte de l’entreprise ciblée. Une récente étude montre que 82,6 % des emails frauduleux sont désormais conçus avec l’aide de l’IA (2025).
Le volume joue également en faveur des attaquants. Un collaborateur reçoit en moyenne 121 emails par jour. À ce rythme, la vigilance s’émousse naturellement, et l’enjeu de sécuriser vos emails devient d’autant plus concret.
À cela s’ajoute le faible coût d’une campagne malveillante par email pour les cybercriminels. Envoyer des milliers de messages frauduleux ne nécessite qu’un faible investissement. Le rapport entre l’effort fourni par l’attaquant et le gain potentiel est sans commune mesure avec d’autres formes de cyberattaques, ce qui explique pourquoi ce vecteur reste aussi massivement exploité. Les campagnes d’emails frauduleux sont automatisées à grande échelle. Elles peuvent ainsi frapper n’importe quelle organisation, quelle que soit sa taille.
2. Les modes opératoires qui ciblent votre messagerie
2.1 Le phishing
Le phishing (ou hameçonnage), désigne l’envoi d’un email frauduleux conçu pour tromper son destinataire en usurpant l’identité d’un expéditeur de confiance. Les attaquants peuvent se faire passer pour votre banque, un fournisseur, l’administration fiscale, ou même pour un collègue. Cet email frauduleux peut avoir plusieurs objectifs, comme inciter la cible à divulguer des informations sensibles, à communiquer ses identifiants, ou encore installer un logiciel malveillant à son insu.
Le spear phishing est une forme plus avancée de phishing. L’attaquant a préalablement collecté des informations sur l’entreprise et son interlocuteur (poste occupé, projets en cours, nom du dirigeant) pour rendre le message particulièrement crédible. Selon le baromètre CESIN 2026, le phishing et ses variantes restent le premier vecteur d’attaque des entreprises françaises, à l’origine de 55 % des cyberattaques significatives.
Une variante moins connue mais particulièrement redoutable est le phishing latéral. Une fois qu’un compte email a été compromis, un cybercriminel peut l’utiliser pour envoyer des emails frauduleux aux collègues et partenaires de la victime, depuis une adresse qu’ils reconnaissent et à laquelle ils font confiance. Ces messages passent tous les filtres de sécurité, car ils proviennent d’un compte légitime.
2.2 L’ingénierie sociale
L‘ingénierie sociale désigne l’ensemble des techniques de manipulation psychologique utilisées par les cybercriminels pour pousser un collaborateur à effectuer une action préjudiciable à son entreprise, sans avoir recours à aucun exploit technique. L’email est le canal privilégié de ces attaques : il permet d’usurper facilement une identité, de créer un sentiment d’urgence et d’isoler la victime de tout circuit de validation.
L’arnaque au président en est un parfait exemple. L’attaquant se fait passer pour le dirigeant de l’entreprise et demande à un collaborateur d’effectuer un virement urgent. Le message ne contient ni lien suspect ni pièce jointe : il mise uniquement sur l’autorité de l’expéditeur usurpé et la pression du délai.
D’autres formes d’ingénierie sociale passent également par email, comme de fausses demandes de mise à jour d’identifiants, des emails prétendument envoyés par un prestataire informatique demandant des accès à distance pour une « intervention urgente »… Dans tous les cas, le ressort est le même : exploiter la confiance, l’urgence ou l’autorité pour court-circuiter le jugement de la victime.
2.3 L’usurpation de domaine
L’usurpation de domaine recouvre deux techniques distinctes. Parmi elles, le spoofing consiste à envoyer un email en faisant apparaître l’adresse de votre domaine comme expéditeur, sans en être le propriétaire légitime. Le typosquatting consiste à enregistrer un nom de domaine quasi identique au vôtre, par exemple votre-entreprlse.fr au lieu de votre-entreprise.fr, pour envoyer des emails qui semblent provenir de votre organisation.
Ces attaques ne visent pas seulement vos collaborateurs : elles peuvent cibler vos clients et vos fournisseurs, qui recevront des messages frauduleux en apparence envoyés par vous. Les conséquences sur la réputation peuvent être durables.
2.4 Les liens et pièces jointes malveillants
Il peut s’agir d’un email qui contient un lien redirigeant vers un faux site conçu pour voler des identifiants, ou d’une pièce jointe infectée qui, lorsqu’elle est téléchargée, déclenche l’installation d’un logiciel malveillant.
Le logiciel malveillant installé peut prendre plusieurs formes : un ransomware qui chiffre l’ensemble des données de l’entreprise et exige une rançon pour les restituer, un infostealer qui collecte silencieusement les identifiants stockés sur le poste, ou une porte dérobée qui permet à l’attaquant d’accéder à distance au système d’information. Dans tous les cas, un seul clic peut suffire à compromettre l’ensemble du réseau.
2.5 Le piratage de compte
Le piratage de compte est souvent la conséquence directe d’une attaque précédente réussie. Une fois en possession des identifiants de messagerie d’un collaborateur, l’attaquant peut prendre le temps de lire les échanges en cours, d’identifier les processus financiers, de repérer les interlocuteurs clés, et d’attendre le moment opportun pour agir.
Ce temps d’observation silencieux est particulièrement dangereux car rien ne signale l’intrusion. L’attaquant dispose de toutes les informations nécessaires pour lancer une attaque d’ingénierie sociale parfaitement crédible, ou pour rebondir vers d’autres comptes au sein de l’entreprise ou chez ses partenaires.
3. Les mauvaises pratiques qui décuplent les risques
Beaucoup de PME pensent avoir pris les mesures nécessaires pour sécuriser leurs emails, sans savoir que leur domaine est mal configuré. Trois protocoles sont pourtant indispensables pour authentifier vos emails et empêcher des cybercriminels de se faire passer pour vous : il s’agit des protocoles SPF, DKIM et DMARC. Le SPF liste les serveurs autorisés à envoyer des emails au nom de votre domaine. Le DKIM appose une signature cryptographique sur chaque message pour garantir qu’il n’a pas été modifié ou altéré en chemin. Le DMARC indique la marche à suivre aux serveurs destinataires lorsqu’un email échoue à ces vérifications : ne rien faire, le placer en quarantaine, ou le rejeter.
Lorsque ces protocoles ne sont pas correctement configurés, n’importe qui peut envoyer un email en se faisant passer pour votre domaine. Deux erreurs sont particulièrement fréquentes. La première consiste à laisser DMARC configuré en politique p=none ou pct=0 : les emails non conformes ne sont alors ni bloqués ni mis en quarantaine. La seconde consiste à ne pas activer les rapports agrégés DMARC (champ rua), ce qui prive l’entreprise de toute visibilité sur les tentatives d’usurpation de son domaine.
L’absence d’authentification multifacteur sur la messagerie est une autre faille couramment exploitée. Lorsque le mot de passe est volé, l’attaquant peut immédiatement accéder à la messagerie sans vérification de son identité. La réutilisation du même mot de passe sur plusieurs services aggrave encore le risque, car tous les comptes concernés deviennent vulnérables.
Par ailleurs, la gestion des comptes est également souvent négligée. Beaucoup d’entreprises ne désactivent pas les comptes email d’anciens collaborateurs après leur départ, laissant des portes d’entrée potentielles sans surveillance. Les adresses génériques (contact@, info@, comptabilite@) accessibles par plusieurs personnes simultanément rendent toute traçabilité impossible en cas d’incident.
Le manque d’organisation est une autre mauvaise pratique en soi. Sans procédure claire, un collaborateur qui reçoit un email urgent de son dirigeant lui demandant un virement n’a pas forcément le réflexe de vérifier l’origine de la demande. L’absence de règle formalisée sur la validation des demandes financières ou des modifications de coordonnées bancaires reçues par email laisse un vide exploité par les attaques d’ingénierie sociale.
4. Les mesures pour sécuriser vos emails
4.1 Authentifier votre domaine
La première étape consiste à configurer correctement les protocoles SPF, DKIM et DMARC sur votre nom de domaine. Ces réglages se font dans les paramètres DNS de votre domaine, accessibles via votre hébergeur ou votre prestataire informatique.
Pour sécuriser vos emails, ces protocoles doivent être pleinement appliqués. Demandez à votre responsable informatique ou à votre prestataire de vérifier que les trois protocoles sont bien en place et que DMARC est configuré pour bloquer les emails non conformes, pas simplement les surveiller. La politique DMARC doit être en mode « reject » ou « quarantine » plutôt que simplement « none ».
Pour savoir si ces protocoles sont correctement configurés ou non, vous pouvez lancer un diagnostic en ligne via Sekost à partir d’un simple nom de domaine, sans installation ni intervention technique.
4.2 Sécuriser les accès à la messagerie
Activez l’authentification multifacteur sur tous les accès à la messagerie, sans exception. Une seconde vérification sera ainsi requise à chaque tentative de connexion à la messagerie, par exemple via un code reçu sur smartphone. C’est la mesure la plus efficace pour bloquer une compromission de compte, même en cas de vol de mot de passe.
Assurez-vous également que chaque collaborateur utilise un mot de passe unique pour sa messagerie professionnelle, différent de ceux utilisés sur d’autres services. Pensez à désactiver systématiquement les comptes email des collaborateurs qui quittent votre PME.
4.3 Instaurer un protocole de vérification pour les demandes sensibles
C’est l’une des mesures les plus simples pour sécuriser vos emails contre l’ingénierie sociale. Toute demande de virement, de modification de coordonnées bancaires ou d’action financière inhabituelle reçue par email doit être confirmée via un second canal avant d’être exécutée. Cette règle doit être formalisée, connue de tous les collaborateurs ayant accès aux finances, et appliquée sans exception.
En cas de doute suite à une demande d’un prestataire ou d’un tiers, le réflexe est le même : contactez votre interlocuteur habituel via un autre canal, par téléphone par exemple, pour vérifier l’authenticité de la demande.
4.4 Sensibiliser les équipes
Une attaque d’ingénierie sociale bien construite peut tromper n’importe quel collaborateur, quel que soit son niveau de vigilance naturel. C’est pourquoi il est essentiel de sensibiliser votre équipe aux modes opératoires des cybercriminels et aux bons réflexes à adopter pour sécuriser vos emails : vérifier l’adresse email de l’expéditeur, se méfier des demandes urgentes, ou encore ne jamais cliquer sur un lien ni ouvrir une pièce-jointe sans avoir vérifié l’origine du message. Vous pouvez également mettre en place des exercices en envoyant de fausses campagnes de phishing afin de tester le niveau de vigilance de vos collaborateurs.
4.5 Surveiller et maintenir dans la durée
Sécuriser vos emails n’est pas une action ponctuelle. Votre environnement change en permanence : un collaborateur qui quitte l’entreprise, un nouveau prestataire qui envoie des emails en votre nom… À chaque changement, de nouvelles failles peuvent apparaître. Programmez une vérification trimestrielle pour vous assurer que votre messagerie est toujours correctement protégée.
Conclusion
Les cyberattaques qui passent par la messagerie exploitent presque toujours des failles évitables : une mauvaise configuration DMARC, un compte d’un ancien collaborateur n’ayant pas été désactivé, un manque de sensibilisation au phishing…
Sécuriser vos emails ne demande ni budget important ni expertise technique avancée. Les mesures décrites dans cet article sont accessibles à toute PME. Les attaquants cherchent avant tout le chemin de moindre résistance. Une messagerie bien configurée et des équipes sensibilisées constituent un rempart suffisamment efficace pour rendre la plupart des attaques automatisées inefficaces.
