Un email sur trois envoyé mondialement est désormais malveillant ou du spam indésirable, selon de nouvelles données de Barracuda Research, qui a analysé plus de 3,1 milliards d'emails en janvier 2026 et découvert que près de la moitié de toute activité malveillante provient d'attaques par hameçonnage. Les résultats, publiés le 12 mai 2026, arrivent à un moment où les fournisseurs de boîtes de réception appliquent une authentification plus stricte que jamais, créant un point de tension qui affecte directement chaque entreprise utilisant l'email pour communiquer avec ses clients.
L'ampleur de la menace en 2026
En janvier 2026, Barracuda Research a analysé plus de 3,1 milliards d'emails, examinant les emails malveillants, le spam et les emails indésirables, et identifié des tendances montrant que les attaquants intensifient l'hameçonnage de credentials, passant des charges utiles basées sur des fichiers à la distribution basée sur les URL, et utilisant des codes QR et les prises de compte pour contourner les contrôles conventionnels.
L'hameçonnage représente la plus grande part de l'activité malveillante par email à 48%. La deuxième découverte majeure frappe particulièrement les entreprises: 34% des entreprises signalent au moins un incident de prise de compte chaque mois, rendant la détection rapide et la réaction aux comptes compromis essentielles.
Quand un attaquant accède à un compte email professionnel, il ne fait pas que voler des données. Barracuda a découvert que 34% des organisations connaissent au moins un incident de prise de compte chaque mois, et ce changement rend l'hameçonnage plus difficile à détecter car les emails malveillants proviennent souvent de contacts internes fiables ou connus. Pour un responsable marketing ou une équipe de croissance, cela signifie qu'un email d'hameçonnage prétendument envoyé par un fournisseur connu ou un collègue est maintenant une menace réaliste.
Comment les attaquants contournent les défenses
Le changement tactique le plus important documenté dans le rapport est le passage des malwares traditionnels basés sur des fichiers. Le rapport souligne un changement dans les tactiques des attaquants, les acteurs menaçants passant des charges utiles basées sur des fichiers à la distribution basée sur les URL et intégrant des codes QR dans des formats de documents de confiance pour masquer les destinations malveillantes.
Les chiffres derrière cette tendance sont frappants. Environ 70% des fichiers PDF malveillants analysés contenaient des codes QR menant à des pages d'hameçonnage, tandis que plus de 10% des pièces jointes HTML ont été identifiées comme malveillantes.
Bien qu'un lien sur environ 200 soit malveillant, la menace reste persistante et grave: les cybercriminels utilisent ces liens pour l'hameçonnage, l'usurpation d'identité et les campagnes de malware, les rendant souvent assez légitimes pour contourner les filtres de sécurité traditionnels.
L'hameçonnage en tant que service abaisse la barrière à l'attaque
Un facteur clé derrière l'augmentation du volume est l'hameçonnage en tant que service (PhaaS), un modèle d'abonnement criminel qui change qui peut lancer une campagne d'hameçonnage. PhaaS est un modèle d'abonnement criminel fournissant des modèles d'hameçonnage, des fausses pages de connexion, l'hébergement et l'automatisation qui rendent l'hameçonnage de credentials plus facile à lancer et à mettre à l'échelle.
Selon Barracuda, 90% des campagnes d'hameçonnage à haut volume utilisent maintenant des kits d'hameçonnage en tant que service. Cela signifie que les attaquants n'ont plus besoin d'expertise technique pour gérer des campagnes convaincantes. Ils s'abonnent, sélectionnent une cible et déploient.
L'IA accélère cela davantage. L'hameçonnage alimenté par l'IA utilise des outils d'IA générative pour élaborer des messages convaincants et personnalisés à grande échelle, ce qui rend beaucoup plus difficile la détection par rapport aux attaques d'hameçonnage traditionnelles. Les signes d'avertissement traditionnels, la mauvaise grammaire, les salutations génériques, les noms d'expéditeur suspects, ne sont plus fiables. Les attaquants peuvent générer des emails hautement personnalisés faisant référence à des vrais noms, des départements, des événements récents ou du jargon interne extraits d'informations accessibles au public, et ce qui prenait des heures prend maintenant des secondes.
À noter également que les kits de style adversaire au milieu augmentent le risque même dans les environnements MFA en interceptant les sessions en temps réel. Les protocoles d'authentification seuls ne suffisent pas.
Ce que cela signifie pour les responsables marketing par email et les propriétaires d'entreprises
Pour les entreprises menant des campagnes de marketing par email, les conséquences indirectes de ce paysage de menaces se jouent déjà au niveau de la boîte de réception.
Les audiences sont en alerte, grâce à un flot constant de spam et de tentatives d'hameçonnage sophistiquées, ce qui signifie que les emails marketing légitimes sont souvent rencontrés avec suspicion. Selon une recherche de Mailjet, 53% des consommateurs ont reçu un email légitime d'une marque qu'ils pensaient initialement être frauduleux.
Un paradoxe particulièrement frustrant a émergé: alors que les communications professionnelles légitimes font face à des taux de rejet sans précédent, les attaques d'hameçonnage sophistiquées continuent de contourner les filtres à des taux croissants grâce à l'intégration de l'IA.
L'environnement d'authentification s'est également durci considérablement. L'analyse révèle que 85,7% des domaines n'appliquent pas DMARC avec une politique de mise en quarantaine ou de rejet, les laissant vulnérables à l'usurpation d'identité et aux problèmes de délivrabilité, ce qui affecte également le placement en boîte de réception car les fournisseurs d'accès Internet accordent de plus en plus la priorité aux expéditeurs authentifiés. Si votre domaine n'a pas DMARC appliqué, il est exposé à la fois aux attaques d'usurpation d'identité et aux pénalités de boîte de réception. 
Ce que le rapport recommande
Merium Khalid, Directeur de la sécurité offensive du SOC chez Barracuda, a clairement énoncé les enjeux dans le rapport:
"L'email n'est plus seulement un canal de communication. C'est la ligne de front de l'identité, de la confiance et de la continuité commerciale."
La sécurité du email doit être associée aux contrôles d'identité et de point de terminaison pour réduire les prises de compte et les mouvements latéraux. Le rapport complet Barracuda 2026 sur les menaces par email identifie plusieurs étapes pratiques:
- Élargir l'inspection au-delà des pièces jointes. Augmentez l'examen des liens intégrés et des codes QR dans les documents et les messages.
- Renforcer la sécurité de l'identité. Appliquez MFA où possible, surveillez les connexions suspectes et resserrez les politiques d'accès pour limiter l'impact des credentials volées.
- Automatiser la détection et la réaction. Automatisez la détection et la réaction pour mettre en quarantaine rapidement les messages suspects et réduire le temps de présence quand les attaques se manifestent.
- Auditer régulièrement les configurations. Les organisations doivent régulièrement auditer les configurations de sécurité du email pour s'assurer que les protections sont activées, les politiques sont alignées avec les tendances actuelles des menaces et les exceptions sont toujours justifiées, y compris l'examen des paramètres d'authentification, des politiques d'inspection des pièces jointes et des liens, et des workflows de réaction automatisée.
Pour les équipes marketing et de croissance spécifiquement, l'apprentissage clé est clair: une configuration forte de SPF, DKIM et DMARC est maintenant à la fois une exigence de sécurité et une exigence de délivrabilité. Dans un monde d'hameçonnage, d'usurpation d'identité et de scepticisme croissant des utilisateurs, l'identité authentifiée devient un élément central de la confiance de la marque, pas seulement une spécification technique. Les équipes qui traitent l'authentification du email comme un atout marketing, pas seulement comme une case à cocher informatique, auront un avantage mesurable en placement en boîte de réception et en confiance du public en 2026.
