Les cybercriminels contournent désormais systématiquement tous les obstacles d'authentification e-mail et lancent leurs attaques sans difficulté. Le rapport Q1 2026 sur les tendances des menaces e-mail, récemment publié par le groupe VIPRE Security Group, révèle que 84% des e-mails malveillants utilisaient la livraison par lien, tandis que les campagnes de phishing par rappel étaient envoyées depuis une infrastructure Microsoft authentifiée, passant les contrôles SPF, DKIM et DMARC sans déclencher une seule alerte.
Publié le 23 avril 2026, le rapport VIPRE repose sur l'analyse de 1,8 milliard d'e-mails traités au cours du premier trimestre 2026 et documente comment les attaquants exploitent les plateformes, systèmes et écosystèmes légitimes pour contourner les défenses conventionnelles. Les conclusions envoient un message clair à toute entreprise qui s'appuie sur l'e-mail : l'authentification appropriée est nécessaire, mais elle n'est plus suffisante.
L'authentification réussit, les attaques aussi
La découverte la plus importante du rapport pour les responsables e-mail marketing et les équipes growth est de constater à quel point les attaquants ont maîtrisé le contournement de la pile d'authentification que la plupart des organisations considèrent comme un élément de base de la sécurité.
Les campagnes de phishing par rappel identifiées au Q1 étaient envoyées depuis une infrastructure Microsoft authentifiée et passaient les contrôles SPF, DKIM et DMARC. Dans ces campagnes, Microsoft représentait 41% des marques usurpées, suivie de PayPal avec 17% et Geek Squad avec 15%.
Cela importe car SPF, DKIM et DMARC sont les mêmes protocoles que les principaux fournisseurs de boîtes de réception exigent désormais des expéditeurs en masse. Ces trois normes aident à authentifier les expéditeurs d'e-mails en vérifiant que les e-mails proviennent du domaine qu'ils prétendent être, et sont importants pour prévenir le spam, le phishing et autres risques de sécurité e-mail. Le problème est que l'authentification ne vérifie que la source d'envoi, non le contenu ou l'intention derrière le message.
Comme l'indique la recherche d'IRONSCALES : « L'authentification est nécessaire. Elle n'est pas suffisante. Quand les attaquants peuvent louer, enregistrer ou abuser des plateformes qui envoient des e-mails entièrement authentifiés, SPF, DKIM et DMARC deviennent des prérequis, pas des objectifs finaux. »
Les redirections ouvertes et les plateformes de confiance comme couverture
Les attaquants au Q1 2026 ont privilégié les « redirections ouvertes » qui commencent par un domaine légitime et sont ensuite acheminées vers un site malveillant via un paramètre supplémentaire. Les URL abusées représentaient plus de 89% des URL de phishing au cours du trimestre.
Cloudflare a été identifiée comme l'un des services utilisés pour masquer les liens de phishing, les attaquants exploitant les systèmes CAPTCHA et de protection contre les bots de la plateforme pour empêcher les scanners automatisés d'atteindre les pages de destination malveillantes.
Un exemple mis en avant dans le rapport impliquait l'abus de TestFlight, la plateforme de test d'applications bêta d'Apple. Les attaquants ont distribué des malwares via des applications de canal bêta, puis ont envoyé aux utilisateurs des e-mails contenant des liens TestFlight, s'appuyant sur la réputation du service pour améliorer la livraison dans les boîtes de réception.
Les domaines nouvellement enregistrés ont également diminué en importance au cours du trimestre. VIPRE a attribué ce changement à un balayage plus efficace des domaines par les outils de sécurité, ce qui semble pousser les attaquants vers des adresses web réputées et familières qui attirent moins de soupçons. Il s'agit d'une réaction comportementale directe à l'amélioration des défenses : quand une porte se ferme, les attaquants en franchissent une plus fiable.
À quoi ressemble la répartition des attaques
Au cours du Q1 2026, les liens intégrés sont apparus dans 50,59% des e-mails de phishing, tandis que 26,69% contenaient des pièces jointes, 19,17% utilisaient des schémas de rappel et 3,55% s'appuyaient sur le phishing basé sur les codes QR.
Côté pièces jointes, les fichiers PDF ont continué à dominer les pièces jointes malveillantes avec 63% du total, les cybercriminels insérant de plus en plus souvent des codes QR dans ces PDF pour contourner les méthodes de balayage basées sur les URL et le texte. Les fichiers EML ont également augmenté, apparaissant dans 13,15% des cas, les auteurs de menaces joignant des e-mails entiers pour imiter le format des conversations internes authentiques et contourner les passerelles de sécurité e-mail.
Les tactiques de compromission d'e-mail professionnel évoluent aussi
Les modèles de compromission d'e-mail professionnel (BEC) ont changé de manière notable au Q1. L'usurpation d'identité du PDG est passée de 73% des tentatives de BEC au Q1 2025 à 54% au Q1 2026, un changement qui suggère que les attaquants imitent des comportements de communication plus réalistes, car les cadres dirigeants travaillent généralement par une chaîne de commandement plutôt que de se manifester directement.
L'anglais restait la langue principale des attaques de BEC avec 88%, mais le suédois s'est placé en deuxième position, devant l'espagnol. VIPRE a pointé du doigt le revenu par habitant élevé des pays nordiques, l'adoption des paiements sans espèces et la confiance publique élevée comme des facteurs rendant la région attrayante comme cible.
Ce que cela signifie pour votre programme e-mail
Pour les propriétaires d'entreprises et les spécialistes du marketing, les données du Q1 2026 renforcent un point qui est souvent sous-pondéré dans les listes de contrôle standard de la sécurité e-mail : votre configuration d'authentification protège la réputation et la délivrabilité de votre domaine, mais ne protège pas votre audience des attaques qui transitent par une infrastructure légitime.
L'e-mail reste l'un des vecteurs d'entrée primaires des cyberattaques, et le rapport 2025 sur les enquêtes relatives aux violations de données de Verizon montre que la plupart des violations impliquent encore un élément humain, comme les identifiants de compte volés via le phishing. C'est cet élément humain que ces campagnes authentifiées et abusant des plateformes ciblent précisément.
Quelques étapes concrètes à prioriser :
- Auditez chaque plateforme qui envoie des e-mails au nom de votre domaine. Cela inclut les systèmes évidents comme les plateformes d'e-mail marketing, ainsi que les moins visibles comme les outils RH ou les applications financières.
- Formez votre audience et votre équipe à traiter les demandes d'e-mail urgentes avec scepticisme, quel que soit le domaine d'envoi ou la marque.
- Surveillez activement les rapports DMARC. DMARC fournit une visibilité via les rapports agrégés et légistes, montrant qui envoie des e-mails utilisant votre domaine et si ces messages passent l'authentification. Ces données révèlent l'utilisation non autorisée de votre marque avant que vos clients ne le découvrent.
- Allez au-delà de la confiance d'en-tête. L'analyse comportementale de l'expéditeur plutôt que la confiance d'en-tête, y compris la détection des expéditeurs pour la première fois, la cartographie des relations expéditeur-destinataire et les signaux d'âge de domaine, détectent ce que l'authentification ne peut pas.
« Les attaquants utilisent hardiment des techniques sophistiquées pour contourner la détection tout en recourant à des déclencheurs émotionnels pour manipuler et porter atteinte à la confiance », a déclaré Usman Choudhary, directeur général du groupe VIPRE Security Group. « Les organisations doivent renforcer les défenses e-mail et repenser la façon dont la confiance est établie sur chaque canal. »
En mars 2026, seuls 10,7% des domaines avaient une protection DMARC complète avec une politique de rejet strict à 100% d'application, tandis que 70,9% des domaines n'avaient aucune protection DMARC effective du tout. Si votre domaine fait partie de cette majorité, les données du Q1 2026 constituent un rappel pratique de l'exposition que cet écart crée, pour votre délivrabilité et pour quiconque reçoit un e-mail qui prétend provenir de vous.
