Le courriel reste un moyen pour les fraudeurs d’atteindre vos employés. Ce qui a changé, c’est la qualité des attaques. Les messages truffés de fautes et les pièces jointes douteuses n’ont pas disparu, mais ils côtoient désormais des courriels impeccables, rédigés par l’IA, parfois appuyés par un appel où l’on croit reconnaître la voix d’un dirigeant.
Les PME disposent de mesures pour réduire ces risques. Voici celles que nous recommandons en 2026, de la configuration des courriels aux procédures de vérification des paiements.
Les nouvelles menaces à connaître
- L’hameçonnage généré par l’IA : des messages sans fautes, adaptés à votre secteur et au ton de vos échanges, produits en grand nombre. Le « bon français » n’est plus un indice fiable.
- La compromission de courriel d’affaires : un fraudeur se fait passer pour un fournisseur ou un dirigeant, souvent à partir d’un vrai compte piraté, pour détourner un paiement.
- Les voix et vidéos synthétiques : un appel ou un message vocal imitant un patron pour appuyer une demande urgente de virement.
- Le vol de session : certaines trousses d’hameçonnage interceptent le mot de passe et le jeton de connexion, contournant l’authentification multifacteur classique.
Authentifier votre domaine : SPF, DKIM et DMARC
Ces trois enregistrements DNS aident les destinataires à repérer les courriels qui usurpent votre domaine. Ils contribuent aussi à la livraison de vos messages légitimes.
- SPF déclare quels serveurs ont le droit d’envoyer au nom de votre domaine.
- DKIM signe vos messages pour prouver qu’ils n’ont pas été modifiés en chemin.
- DMARC vérifie si un résultat SPF ou DKIM valide correspond au domaine affiché dans l’adresse d’expédition. La politique du domaine indique aux destinataires le traitement demandé pour les messages qui échouent à cette vérification et l’adresse prévue pour les rapports.
La clé, c’est la progression. On commence avec une politique DMARC p=none pour observer, le temps de repérer tous les services légitimes qui envoient en votre nom (infolettre, facturation, CRM). On passe ensuite à p=quarantine, puis à p=reject lorsque tout est bien aligné. La politique p=none sert à observer : elle ne demande ni la mise en quarantaine ni le rejet des messages qui échouent aux vérifications.
Protéger les identités : MFA, accès conditionnel et clés d’accès
Un compte compromis peut donner accès aux courriels de l’entreprise. L’authentification multifacteur (MFA) est indispensable, mais toutes les méthodes ne se valent pas. Les codes par SMS et les notifications à approuver en un clic peuvent être contournés par un fraudeur patient ou par le vol de session.
En 2026, visez l’authentification résistante à l’hameçonnage : clés d’accès (passkeys), Windows Hello Entreprise ou clés de sécurité matérielles. Elles sont liées au véritable site et ne fonctionnent tout simplement pas sur une fausse page de connexion. Commencez par les comptes administrateurs et les personnes qui approuvent les paiements.
Une authentification plus robuste constitue une couche de protection. La sécurité des appareils et des sessions compte aussi, puisqu’un appareil compromis peut exposer une session déjà authentifiée.
Dans Microsoft 365, l’accès conditionnel complète le tout : bloquer les anciens protocoles d’authentification, exiger un appareil conforme, restreindre les connexions à risque et limiter les accès depuis des pays où vous n’avez aucune activité.
Renforcer la sécurité de Microsoft 365
La configuration de Microsoft 365 mérite une vérification. Voici les paramètres à examiner pour renforcer la protection des comptes et des courriels :
- examiner les protections incluses dans vos licences Microsoft 365 et déterminer si les fonctions de Defender for Office 365, comme Safe Links et Safe Attachments, conviennent à vos besoins, puis vérifier le forfait requis et adapter les politiques à votre environnement;
- bloquer le transfert automatique des courriels vers l’externe, une technique prisée des fraudeurs;
- surveiller la création de règles de boîte de réception suspectes;
- signaler clairement les courriels provenant de l’externe;
- limiter le consentement des utilisateurs aux applications tierces;
- réduire au strict minimum le nombre de comptes administrateurs.
Des processus qui résistent à la fraude
La technologie ne bloque pas tout. Un courriel frauduleux envoyé depuis le compte piraté d’un fournisseur peut échapper aux filtres. C’est là que vos processus prennent le relais.
Toute demande de modification de coordonnées bancaires se vérifie par un appel, à un numéro déjà connu, jamais à celui qui figure dans le courriel.
Appliquez la même règle aux demandes urgentes de virement, même si elles semblent venir de la direction, et même si une voix familière les confirme au téléphone. Prévoyez un mot de passe verbal ou une double approbation pour les montants importants.
La formation des employés doit suivre l’évolution des menaces : des capsules courtes et régulières, des simulations d’hameçonnage réalistes et, surtout, une culture où signaler un courriel douteux est valorisé, jamais reproché.
Prévoir les sauvegardes et l’intervention
Définissez comment votre entreprise récupérera ses courriels et ses données de collaboration après un incident. Vérifiez le contenu couvert par le service de sauvegarde choisi et testez les restaurations dont votre équipe pourrait avoir besoin. Consultez notre guide sur les sauvegardes Microsoft 365 pour savoir quelles questions poser.
Ayez aussi un plan d’intervention simple, écrit et connu : qui appeler, comment réinitialiser un compte compromis et révoquer ses sessions, comment prévenir vos clients et partenaires, et quelles obligations de déclaration s’appliquent en cas d’incident touchant des renseignements personnels. Le jour d’un incident n’est pas le bon moment pour l’improviser.
Ces mesures se complètent. La configuration des courriels et la protection des comptes réduisent les risques techniques; la vérification des paiements aide à repérer une demande frauduleuse même lorsqu’elle semble crédible. Les sauvegardes et le plan d’intervention préparent l’équipe à agir si un incident survient malgré ces précautions.
La sécurité des courriels fait partie intégrante de nos services informatiques gérés. Pour faire le point sur les protections de votre organisation, contactez-nous pour une évaluation.
