Plus de la moitié des plus grandes organisations du Massachusetts restent exposées au phishing et à l'usurpation de domaine, car elles n'ont pas pleinement appliqué la norme d'authentification email qui pourrait l'empêcher. Une nouvelle analyse de cybersécurité chiffre précisément cette exposition, et les résultats devraient alarmer tout propriétaire d'entreprise, responsable marketing et équipe de sécurité qui envoie des emails sous un domaine professionnel.
Les résultats : une majorité toujours exposée
Un examen des 100 plus grandes entreprises, organisations à but non lucratif et agences publiques du Massachusetts montre que seulement 42% ont pleinement appliqué la norme d'authentification email connue sous le nom de DMARC, selon l'entreprise de cybersécurité Red Sift.
Selon Axios Boston, la répartition dans l'échantillon du Massachusetts est édifiante :
- 26% ont mis en place une certaine forme d'application, comme la mise en quarantaine des emails suspects.
- 28% n'appliquent pas du tout
DMARC. Ils se contentent de surveiller passivement et de signaler les emails frauduleux. - 4% n'ont aucun protocole de sécurité email en place.
Ce schéma se reproduit au-delà du Massachusetts. Red Sift a analysé 700 domaines dans sept états et constaté que 43% n'avaient pas appliqué ou ne disposaient pas de protocoles DMARC, tandis que seulement 35% rapportaient une application complète.
Cet écart est particulièrement significatif au Massachusetts, qui est le centre des secteurs américains de la santé, de la biotechnologie, de l'enseignement supérieur, des services financiers et de la défense. Ce sont des secteurs où la communication fondée sur la confiance et les enjeux élevés dépend fortement de l'email.
« Si vous envoyez des emails, vous êtes une cible », affirme Brian Westnedge, vice-président des Partenariats et Alliances chez Red Sift.
Pourquoi une application partielle ne suffit pas
DMARC (Domain-based Message Authentication, Reporting and Conformance, soit authentification, signalement et conformité basés sur le domaine) est une politique DNS qui indique aux serveurs de messagerie récepteurs ce qu'il convient de faire avec les messages qui échouent les vérifications d'authentification. Elle peut rejeter ou mettre en quarantaine les emails usurpés, garantissant que les messages qui arrivent dans la boîte de réception proviennent effectivement de l'organisation qu'ils prétendent représenter.
Le problème est que publier un enregistrement DMARC n'est pas la même chose que l'appliquer. De nombreuses entreprises publient des enregistrements DMARC avec une politique p=none. Cela offre une visibilité mais n'empêche pas les emails usurpés d'atteindre les boîtes de réception.
Beaucoup d'organisations se contentent d'un compromis en laissant DMARC en mode quarantaine, où les messages non authentifiés ne sont pas rejetés mais envoyés dans les dossiers de spam. Cependant, les experts avertissent que ce n'est pas une véritable protection. Les utilisateurs peuvent, et le font souvent, récupérer les messages des dossiers indésirables, surtout s'ils semblent provenir de contacts de confiance. Cela crée un risque persistent d'usurpation d'identité ou de fraude réussies.
La crise plus large de l'authentification
L'étude du Massachusetts n'est pas une anomalie. Elle reflète un problème systémique mondial. Une analyse du deuxième trimestre 2025 indique que seulement environ 18% des 10 millions de domaines les plus visités au monde publient un enregistrement DMARC valide, et seulement environ 4% appliquent pleinement une politique de rejet.
Un écart de maturité clair a émergé : les grandes entreprises progressent vers l'application, tandis que de nombreuses entreprises en croissance rapide restent bloquées en mode surveillance uniquement. Même parmi les entreprises du Fortune 500, l'adoption a atteint 475 sur 500 entreprises, mais plus de 80% avaient atteint des politiques de niveau application. Cela signifie que même au plus haut niveau, une entreprise sur cinq n'avait pas franchi le seuil d'application.
Les enjeux financiers sont graves. Gartner rapporte que les paiements liés aux compromis de messagerie professionnelle (BEC) ont dépassé le seuil de 6 milliards de dollars en 2024, et la boîte de réception reste « la surface d'attaque la plus répandue » car les employés doivent interagir avec des tiers via des protocoles anciens et non sécurisés. Le coût moyen d'une violation liée au phishing a atteint 4,88 millions de dollars en 2025.
Selon le rapport de menaces 2026 de Cloudflare, 46% de tous les emails échouent la validation DMARC, ce qui montre la quantité de trafic non authentifié qui circule encore dans les systèmes mondiaux.
Les fournisseurs de boîtes aux lettres forcent la main
La pression pour appliquer DMARC n'est plus facultative. Elle vient directement des plateformes qui livrent les emails. Google, Yahoo (février 2024), Microsoft (mai 2025) et La Poste (septembre 2025) exigent désormais l'authentification SPF, DKIM et DMARC pour les expéditeurs d'emails en masse.
En octobre 2025, Google a retiré l'ancien tableau de bord des outils Postmaster et a lancé Postmaster Tools v2, déplaçant le focus de « Réputation » vers « Statut de conformité ». Il évalue désormais les expéditeurs selon un modèle binaire, ce qui représente un changement fondamental dans la façon dont Google communique la santé de l'expéditeur. Le modèle binaire signifie que la conformité partielle produit le même résultat qu'aucune conformité : l'échec.
Près de la moitié des plus grands employeurs de Boston n'ont pas mis en place une application complète de la sécurité email, exposant de nombreuses institutions locales aux attaques de phishing et d'usurpation de marque. Boston accuse désormais du retard par rapport à des villes comparables comme New York et Washington, D.C. en matière d'adoption, alors que les menaces email deviennent plus faciles à mettre à l'échelle avec l'IA.
Ce que cela signifie
Pour les propriétaires d'entreprises, les responsables marketing et les équipes de croissance, les résultats de Red Sift constituent un avertissement direct en matière de délivrabilité et de sécurité de marque.
Les équipes marketing ont longtemps optimisé les taux d'ouverture, les taux de clics et les métriques de conversion. Selon le modèle d'application de Google, aucune de ces métriques n'a d'importance si votre email n'atteint jamais la boîte de réception.
L'impact commercial d'une authentification faible est large : placement en boîte de réception réduit, réputation d'expéditeur érodée, emails bloqués par les grands serveurs récepteurs, et perte financière directe provenant du vol d'identifiants et des escroqueries aux factures.
Bien que l'échantillon du Massachusetts couvre seulement une fraction des entreprises de l'État, Red Sift note que l'enquête offre un aperçu de la posture réelle de sécurité email des entreprises. Si les plus grandes organisations de l'État n'ont pas pleinement adopté des protections renforcées, il est probable que les petites entreprises disposant de moins de ressources informatiques non plus.
La voie à suivre est bien établie : passer de p=none à p=quarantine à p=reject, s'assurer que chaque plateforme d'envoi tierce est authentifiée, et surveiller en continu les rapports agrégés DMARC. Les entreprises doivent adopter une sécurité email authentifiée, automatisée et basée sur l'identité pour protéger leurs domaines, maintenir la délivrabilité et préserver la confiance des clients.
L'écart d'application est mesurable. Les conséquences sont réelles. La solution est disponible, mais seulement pour les organisations qui agissent maintenant.
