Un nouveau rapport de Barracuda met en lumière les différentes typologies de menaces par e-mail en 2025. Son « Email Threats Report 2025 » est basé sur les données des solutions de détection de Barracuda. Son étude établit un panorama des risques liés aux e-mail auxquels sont confrontés les entreprises du monde entier.
Les conclusions soulignent ainsi que pas moins d’une entreprise sur 5 (20 %) est ciblée par au moins une tentative de fraude par prise de contrôle de compte (ATO) par mois. Les attaquants essayent généralement d’obtenir un accès par le biais du phishing, du « credential stuffing » ou en exploitant des mots de passe faibles et/ou réutilisés.
Une fois aux manettes d’un compte dérobé, les attaquants peuvent voler des données sensibles, effectuer des déplacements latéraux au sein d’une entreprise, mais également envoyer des e-mail de phishing semblant provenir d’une source fiable.
Qu’apprend-on en détail ? Les résultats de l’étude montrent notamment que :
- Parmi toutes les pièces jointes au format HTML analysées, 23 % d’entre elles étaient malveillantes. De plus, parmi l’ensemble des pièces jointes malveillantes détectées, plus des trois quarts d’entre elles étaient des fichiers HTML.
- Plus des deux tiers (68 %) des pièces jointes PDF malveillantes et 83 % des documents Microsoft malveillants contiennent des codes QR conçus pour diriger les utilisateurs vers des sites de phishing.
- Les escroqueries à la sextorsion avec paiement en bitcoins représentent 12 % des pièces jointes PDF malveillantes.
- 47 % des domaines de messagerie n’ont pas configuré le système DMARC
(Domain-based Message Authentication, Reporting and Conformance) pour se protéger contre les utilisations non autorisées, notamment les attaques par usurpation d’identité et les usurpations d’identité. - Près d’un e-mail sur 4 (25 %) est désormais considéré comme un spam indésirable
ou malveillant.
De nombreuses entreprises augmentent leur niveau de risque en ne mettant pas en œuvre un protocole DMARC, ce qui permet aux attaquants d’usurper l’identité de leur marque et de mener des attaques frauduleuses.
Les entreprises doivent atténuer les risques en mettant en œuvre les meilleures pratiques du secteur, et en adoptant une approche multicouche de la sécurité des e-mails, en tirant parti de la détection des menaces pilotée par l’IA pour repérer les attaques cachées dans les pièces jointes et les sites web malveillants.
