Se protéger de l'usurpation d'adresse email

Priorité 3 : surveiller les domaines ressemblants

DMARC protège le domaine exact, mais pas les variantes que peut enregistrer un attaquant : fautes de frappe (exemple.fr → exmeple.fr), substitutions visuelles (0/O, 1/l), ou ajouts trompeurs (exemple-securite.fr). Ces domaines sont la cible privilégiée du typosquatting, une technique complémentaire au spoofing pur puisqu'elle contourne DMARC en utilisant un domaine réellement enregistré par l'attaquant.

La défense combine plusieurs approches : enregistrer préventivement les variantes les plus évidentes du nom de domaine (les fautes de frappe courantes, les extensions voisines, les principales variations de TLD comme .com face à .fr) ; surveiller les nouveaux enregistrements de domaines ressemblants via des services de veille dédiés qui alertent dès qu'une variante proche est déposée ; et sensibiliser les équipes, en particulier celles qui traitent virements et paiements, à vérifier l'adresse exacte plutôt que le seul nom affiché.

Priorité 4 : former les équipes exposées aux virements

Même avec DMARC en p=reject et une veille sur les domaines ressemblants, le facteur humain reste un point d'entrée. La fraude au président (BEC) exploite souvent des variantes qui échappent à la détection technique : un compte email légitime compromis ailleurs, ou un domaine ressemblant enregistré la veille de l'attaque. Le sujet est développé dans la fraude au président (BEC) : s'en protéger, qui détaille les procédures organisationnelles à mettre en place — vérification systématique par un second canal pour tout virement inhabituel, notamment, ainsi que les signaux d'alerte typiques à enseigner aux équipes comptables et financières.

Priorité 5 : documenter et communiquer clairement

Une mesure souvent négligée : publier clairement, sur le site de l'organisation et dans ses communications officielles, comment elle contacte réellement ses clients ou partenaires (quels domaines, quelles pratiques). Une organisation qui explique publiquement « nous ne demandons jamais de virement par simple email » réduit la surface d'attaque de l'ingénierie sociale, même quand la faille technique elle-même est déjà colmatée par ailleurs. Cette communication a aussi une valeur défensive directe : un client qui reçoit une demande contraire à cette politique affichée sait immédiatement qu'il doit se méfier, sans avoir besoin d'expertise technique pour le deviner.

Ce que DMARC ne remplace pas

Il faut être clair sur la répartition des rôles. DMARC est la fondation technique — sans elle, tout le reste est construit sur du sable, puisque l'usurpation directe du domaine exact reste triviale. Mais DMARC seul ne suffit pas à une protection complète : le typosquatting, le display-name spoofing, et les comptes compromis exigent des mesures complémentaires, listées ci-dessus. Traiter ces cinq priorités comme un ensemble cohérent, plutôt que de s'arrêter à la première, est ce qui distingue une organisation réellement protégée d'une organisation qui pense l'être — souvent jusqu'au jour où un incident lui prouve le contraire.

Un scénario type, pour voir la pile de défenses en action

Pour rendre ces cinq priorités concrètes, prenons une PME de vingt personnes qui vient de découvrir que son nom est usurpé dans une campagne de phishing ciblant ses propres clients. Voici comment chaque priorité intervient face à ce scénario réel.

Sans aucune défense en place, l'attaque fonctionne à plein régime : l'email prétend venir de facturation@entreprise.fr, arrive normalement en boîte de réception (rien ne le distingue techniquement d'un vrai email), et les clients qui cliquent sur le lien malveillant ou paient une fausse facture n'ont aucun moyen de se méfier. L'entreprise, elle, ne découvre l'incident que par les plaintes de clients arrivant a posteriori — bien trop tard pour agir.

Avec DMARC en p=reject (priorité 1), le même email, utilisant le domaine exact de l'entreprise, est refusé avant d'atteindre la boîte du client. L'attaque échoue silencieusement, sans que l'entreprise ait même besoin d'agir dans l'urgence.

Si l'attaquant se rabat sur un sous-domaine inexistant (facturation.entreprise.fr qui n'a jamais été créé), la balise np (priorité 2) bloque également cette tentative — un angle que beaucoup d'entreprises laissent ouvert en pensant que la protection du domaine racine suffit.

Si l'attaquant enregistre un domaine ressemblant (entreprise-facturation.fr), DMARC ne peut plus rien — c'est un domaine différent, avec sa propre configuration. C'est là que la veille sur les domaines ressemblants (priorité 3) prend le relais, en détectant l'enregistrement suspect avant, ou peu après, son utilisation active.

Si malgré tout un email de ce domaine ressemblant atteint un employé avec une demande de virement urgent, c'est la formation (priorité 4) et les procédures de vérification par un second canal qui constituent le dernier filet.

Chaque couche rattrape ce que la précédente laisse passer — c'est exactement pourquoi les cinq priorités fonctionnent ensemble, et pourquoi s'arrêter à la première (aussi essentielle soit-elle) laisse encore des angles d'attaque exploitables.

Le coût de l'inaction, en perspective

Un dernier argument pour convaincre une direction hésitante : le coût de la mise en œuvre de ces cinq priorités est marginal comparé au coût d'un incident réussi. DMARC est gratuit à publier ; la veille sur les domaines ressemblants coûte quelques dizaines à quelques centaines d'euros par mois selon le service choisi ; la formation d'une équipe de dix personnes se compte en heures, pas en semaines. En face, une fraude au président réussie se chiffre couramment en dizaines de milliers d'euros, sans compter le coût réputationnel d'une campagne de phishing menée avec succès au nom de l'entreprise, qui peut durablement entamer la confiance de ses clients. L'asymétrie entre le coût de la prévention et le coût de l'incident est l'argument le plus convaincant pour prioriser ce chantier, même dans une organisation aux ressources limitées.

Notons aussi que les cinq priorités n'exigent pas le même effort au même moment. La priorité 1 est un chantier avec un début et une fin — quelques semaines à quelques mois d'inventaire et d'alignement, puis une politique durcie qui s'entretient presque seule. Les priorités 2 et 5 sont des configurations et des décisions ponctuelles, réglées en une après-midi. Seules les priorités 3 et 4 sont de vrais engagements récurrents : la veille exige quelqu'un pour lire les alertes, et la formation doit être rafraîchie au rythme des équipes. Vue ainsi, la feuille de route est bien moins intimidante qu'une liste de cinq points ne le laisse croire — l'essentiel de l'effort est concentré au départ, et la charge continue reste légère.

Le test le plus rapide pour se situer

Avant de prioriser les efforts, un test simple et immédiat : le domaine a-t-il un enregistrement DMARC, et si oui, en quelle politique ? C'est la question qui détermine si tout reste à faire (domaine spoofable directement, priorité absolue) ou si l'effort peut porter sur les priorités suivantes (sous-domaines, domaines ressemblants, formation) — pas de raison de bâtir une pile de défenses sophistiquée sur une fondation encore absente.

Un passage du domaine dans l'analyseur DMARC gratuit donne cette réponse en quelques secondes, avec le détail de la politique en place et des sous-domaines. Et pour situer la progression face au secteur dans la durée, l'Observatoire DMARC offre un point de comparaison utile pour justifier l'investissement auprès d'une direction qui doute encore de la priorité du sujet — rien ne convainc mieux qu'un chiffre montrant que des concurrents comparables sont déjà protégés.

En résumé

Se protéger de l'usurpation d'adresse email n'est pas une action unique mais une pile de défenses complémentaires : DMARC en application pour le domaine exact, couverture des sous-domaines existants et inexistants, veille sur les domaines ressemblants, formation des équipes exposées, et communication claire sur les pratiques d'envoi. La première étape, la plus rentable et la moins coûteuse, reste toujours la même — publier un enregistrement DMARC et le durcir méthodiquement, avant d'investir dans les couches suivantes.