Microsoft Threat Intelligence a détecté environ 8,3 milliards de menaces de phishing basées sur l'email entre janvier et mars 2026, avec des volumes mensuels oscillant entre 2,9 milliards en janvier et 2,6 milliards en mars. L'ampleur compte, mais pour les responsables du marketing par email et les propriétaires d'entreprises, l'enjeu le plus urgent réside dans ce qui a changé à l'intérieur de ces chiffres. Selon MarketScreener, qui a publié ces résultats le 30 avril 2026, le phishing par code QR s'est imposé comme le vecteur d'attaque à la croissance la plus rapide du trimestre, plus que doublé au cours de la période. Cette croissance a des conséquences directes pour quiconque dépend de l'email pour atteindre les clients, conclure des ventes ou fidéliser les abonnés.
Phishing par code QR : La menace à la croissance la plus rapide dans la boîte de réception
Les chiffres sur le phishing par code QR sont précis et significatifs. Le phishing par code QR est passé de 7,6 millions d'attaques en janvier à 18,7 millions en mars, une augmentation de 146% au cours du trimestre, avec 70% des codes QR malveillants livrés via des pièces jointes PDF en mars. Cette méthode de livraison a de l'importance : la plupart des passerelles de messagerie sécurisée ont été conçues pour analyser le texte et les liens, non pas les images intégrées dans les fichiers PDF, ce qui signifie qu'une grande partie de ces attaques atteint les boîtes de réception sans déclencher les filtres.
Le problème n'a pas commencé au Q1 2026. Selon Abnormal Security, les attaques par code QR ont augmenté de 400% entre 2023 et 2025. Les données du Q1 2026 montrent que cette trajectoire ne s'est pas inversée. Ce qui rend ce vecteur si efficace, c'est le comportement des utilisateurs. Une recherche menée par KnowBe4 et NordVPN a révélé que 73% des utilisateurs scannent les codes QR sans vérifier où va le lien, une habitude développée par des années d'utilisation légitime dans les restaurants, les paiements et les flux de travail professionnels. Les attaquants n'ont pas créé cette habitude. Ils l'exploitent.
Parce que la charge réside dans une image plutôt qu'un lien cliquable, les passerelles de messagerie sécurisée obsolètes ne la voient jamais. L'email passe l'inspection. L'utilisateur scanne le code avec son téléphone. Et l'attaque passe d'un poste de travail d'entreprise protégé à un appareil mobile non géré en dehors du périmètre de sécurité.
Attaques protégées par CAPTCHA et compromission de messagerie professionnelle
Le phishing par code QR n'était pas la seule menace en évolution. Le phishing protégé par CAPTCHA a bondi de 125% en mars pour atteindre 11,9 millions d'attaques, le volume mensuel le plus élevé en un an. Ces attaques ajoutent un faux écran CAPTCHA entre le clic de l'email et la page de phishing, ce qui ralentit les outils d'analyse automatisée sans rien arrêter pour un vrai utilisateur.
Une campagne entre le 23 et le 25 février 2026 a envoyé plus de 1,2 million de messages à plus de 53 000 organisations dans 23 pays, utilisant des appâts liés aux mises à jour 401k, aux factures impayées, aux blocages de crédit et aux notifications de messages vocaux, avec une fausse clause de confidentialité incluse pour renforcer la crédibilité.
La compromission de messagerie professionnelle (BEC) reste un problème persistant et coûteux aux côtés des vecteurs plus techniques. Le BEC a totalisé environ 10,7 millions d'attaques au Q1 2026, avec des messages de sensibilisation générique tels que « Êtes vous au bureau ? » représentant 82% à 84% de ces emails. L'approche peu technologique est délibérée. Comme l'ont noté les chercheurs de Microsoft, « ce modèle souligne que les opérateurs de BEC privilégient largement l'établissement d'une relation conversationnelle avant de faire des demandes frauduleuses, plutôt que de commencer par des demandes financières directes. » Le rapport 2025 de l'IC3 montre que la fraude BEC a coûté aux plaignants américains plus de 3 milliards de dollars sur 12 mois.
Ce que cela signifie pour les responsables du marketing par email et les expéditeurs
Ces volumes d'attaque ont un impact direct sur les programmes d'email légitimes. Lorsque les campagnes de phishing usurpent l'identité de marques ou utilisent des domaines falsifiés, elles érodent la confiance des destinataires et augmentent les taux de plainte dans des secteurs entiers. Pour les responsables du marketing par email, cela se traduit par une délivrabilité plus faible, un placement plus élevé dans les spams et une réputation d'expéditeur endommagée, même si votre propre programme est impeccable.
La réaction des principaux fournisseurs de boîtes de réception a été de renforcer les exigences d'authentification. Depuis novembre 2025, Google a considérablement renforcé l'application, les emails non conformes faisant désormais face à des rejets temporaires et permanents au niveau SMTP. Outlook de Microsoft a suivi avec ses propres exigences d'expéditeur à partir du 5 mai 2025, en exigeant l'alignement SPF, DKIM et DMARC pour les domaines envoyant plus de 5 000 emails par jour, les messages non conformes étant acheminés vers les indésirables ou rejetés purement et simplement.
La preuve que l'application du DMARC fonctionne est concrète. L'une des conclusions les plus frappantes du rapport EasyDMARC 2025 est la corrélation directe entre les mandats DMARC nationaux et les résultats de phishing : les États Unis, qui ont des mandats DMARC gouvernementaux pour les agences fédérales, ont vu la livraison réussie des emails de phishing chuter de 69% à 14%, tandis que les Pays Bas, qui n'ont pas de mandats d'application, ont vu la vulnérabilité au phishing augmenter à 97%.
Malgré ces résultats, les lacunes d'adoption persistent. Le rapport EasyDMARC 2026 sur l'adoption du DMARC a révélé que l'adoption mondiale du DMARC a atteint 52,1% des 1,8 millions de domaines les plus importants, en hausse par rapport à 47,7% en 2025, mais parmi les 937 931 domaines ayant des enregistrements DMARC valides, plus de la moitié restent bloqués à p=none, la politique de surveillance uniquement qui ne fournit zéro protection contre l'usurpation d'identité.
p=none n'est pas une défense. C'est un instrument de mesure. Le passage à p=quarantine ou p=reject est l'étape qui bloque les emails falsifiés d'atteindre les boîtes de réception. Valimail a observé que ses clients constataient des augmentations de taux de livraison de 5% à 10% pour les campagnes de marketing après la transition vers une politique d'application.
BIMI ajoute une couche supplémentaire. BIMI s'appuie sur DMARC et permet aux marques d'afficher un logo vérifié à côté des emails dans la boîte de réception du destinataire lorsque DMARC est appliqué, donnant aux abonnés un signal visible indiquant qu'un email est légitime et rendant les usurpations de phishing visuellement évidentes par comparaison.
La checklist pratique pour les expéditeurs
Le rapport du blog de sécurité Microsoft identifie des étapes concrètes qui s'appliquent aussi bien aux équipes de sécurité qu'aux équipes de marketing par email :
- Vérifiez que vos enregistrements SPF, DKIM et DMARC sont correctement configurés et alignés sur tous les domaines d'envoi et sous domaines, pas seulement votre domaine principal.
- Sortez votre politique DMARC de
p=noneà au moinsp=quarantine, et visezp=rejectune fois que vous avez confirmé que tous les flux de courrier légitimes passent l'authentification. - Ajoutez BIMI une fois l'application DMARC en place, pour rendre votre logo de marque visible dans les boîtes de réception compatibles, notamment Gmail, Apple Mail et Yahoo.
- Formez votre équipe aux risques des codes QR. Les utilisateurs doivent être formés à ne pas scanner les codes QR des emails non sollicités et à vérifier les demandes de transaction par des canaux établis.
- Activez la suppression automatique zéro heure (ZAP) dans Defender pour Office 365 pour mettre en quarantaine les messages envoyés en réponse à la nouvelle intelligence sur les menaces et neutraliser rétroactivement les messages malveillants déjà livrés aux boîtes de réception.
La convergence des mandats des fournisseurs de boîtes de réception, des exigences PCI DSS et des cadres réglementaires mondiaux a définitivement déplacé l'authentification email de la colonne « agréable à avoir » à la colonne « indispensable ». Pour les équipes de croissance mesurant le retour sur investissement de l'email, le calcul est simple : l'authentification protège votre réputation d'expéditeur, garde vos emails hors des spams et sépare vos envois légitimes des 8,3 milliards de menaces qui ont rempli les boîtes de réception le trimestre dernier.
