La plupart des spécialistes du marketing voient la sécurité des courriels comme un problème de TI. Ce n’est plus le cas. Lors d’un récent webinaire de Cyberimpact, Nihal Mandanna CP, de Cyberimpact, s’est entretenu avec Ben Fox, fondateur de ZeroArc (et de FP Digital), pour expliquer pourquoi les équipes marketing portent désormais une part grandissante du risque lié aux courriels dans leur organisation, et ce qu’elles peuvent concrètement faire pour y remédier.
Voici un résumé des principaux points à retenir du webinaire, ainsi qu’un cadre pratique que vous pouvez commencer à appliquer dès cette semaine.
- Pourquoi la sécurité des courriels est devenue un enjeu marketing
- La vitesse, la nouvelle menace
- Les six façons dont les fraudeurs peuvent usurper votre marque
- Les trois anneaux de défense pour la sécurité des courriels
- Anneau 3 : applications et IA
- À quoi ressemble une vraie attaque
- Consentement et conformité : LCAP et Loi 25
- Bonnes pratiques de délivrabilité
- Comment améliorer la sécurité de vos courriels dès maintenant
- Comment Cyberimpact protège vos courriels
Regardez le webinaire complet sur YouTube
Pourquoi la sécurité des courriels est devenue un enjeu marketing
Pendant le webinaire, Ben a raconté deux histoires vécues qui montrent à quel point une marque peut être touchée, même lorsque l’entreprise n’a rien fait de mal.
Il y a quelques années, des milliers d’organismes sans but lucratif et d’organismes de bienfaisance ont dû avertir leurs donateurs que leurs données personnelles avaient peut-être été exposées. Aucun d’entre eux n’avait été piraté directement : c’est leur fournisseur commun de logiciel de collecte de fonds qui l’avait été. Ce fournisseur a fini par payer une rançon à six chiffres et par verser des dizaines de millions de dollars en dédommagement. Mais ce sont les organismes, et non le fournisseur, qui ont dû envoyer les courriels « vos données sont peut-être à risque », et c’est leur délivrabilité et la confiance de leurs donateurs qui en ont souffert.
Le hic : presque toutes ces organisations avaient activé SPF, DKIM et DMARC. C’est un bon point de départ, mais ces protocoles servent uniquement à vérifier qu’un expéditeur est bien celui qu’il prétend être. Ils n’empêchent pas un fournisseur tiers de confiance d’être compromis, et ils ne détectent pas un domaine sosie créé pour usurper l’identité de votre marque.
La deuxième histoire concernait une entreprise bien connue de portefeuilles matériels de cryptomonnaie dont la sécurité semblait irréprochable : authentification à deux facteurs partout, équipe dédiée aux opérations de sécurité, tout le kit. Un courriel d’hameçonnage a quand même franchi tous les contrôles, quelqu’un a cliqué, et des identifiants de portefeuilles de clients ont été exposés. Ce n’était pas nécessairement la faute de l’entreprise, mais sa marque, entièrement bâtie sur la confiance et la sécurité, en subit encore les contrecoups.
La leçon à retenir : une solide configuration technique est nécessaire, mais elle ne suffit pas.
L’usurpation d’identité, le risque lié aux fournisseurs et l’erreur humaine se trouvent dans la zone que l’authentification de base des courriels ne couvre pas, et cette zone relève autant du marketing que des TI.
La vitesse, la nouvelle menace
Les tentatives d’usurpation d’identité n’ont rien de nouveau. Ce qui a changé, c’est la vitesse à laquelle elles se déploient. Ben a souligné qu’il n’y a pas si longtemps, une alerte de sécurité donnait à votre équipe environ huit minutes pour repérer et contenir un problème avant que de réels dommages surviennent. Aujourd’hui, cette fenêtre est passée à une dizaine de secondes. Quand une alerte atteint un humain, il est souvent déjà trop tard pour stopper une intrusion en cours.
L’hameçonnage généré par l’IA à grande échelle accélère cette tendance. Des attaques qui demandaient autrefois de réels efforts (un texte convaincant, un domaine sosie crédible, un prétexte plausible) peuvent maintenant être produites instantanément et en grand volume. Comme cette tendance ne fera que s’intensifier, les marques ont aussi besoin de stratégies d’intervention plus intelligentes et plus rapides.
Les six façons dont les fraudeurs peuvent usurper votre marque
Ben a présenté six catégories de moyens utilisés par les fraudeurs pour usurper l’identité d’une organisation, parfois appelées « portes » :
- Le rayon d’impact des fournisseurs : chaque plateforme que vous autorisez à envoyer des courriels en votre nom (votre plateforme d’envoi, votre CRM, votre plateforme d’événements) peut envoyer des messages qui passent SPF, DKIM et DMARC, simplement parce que vous lui en avez donné la permission. Si l’un de ces fournisseurs est piraté, la réputation de votre marque l’est aussi.
- Les domaines sosies : des domaines conçus pour ressembler de près au vôtre, souvent utilisés pour intercepter vos clients ou piéger vos employés.
- La compromission de courriels d’affaires (BEC) : se faire passer pour un dirigeant ou un cadre afin de convaincre un employé moins expérimenté d’effectuer un paiement, d’acheter une carte-cadeau ou de fournir des identifiants. Google et Facebook ont notoirement perdu entre 110 et 120 millions de dollars à cause d’une fraude de type BEC, qui reposait sur des domaines sosies et des factures semblant provenir de vrais fournisseurs.
- L’abus de formulaires et la fraude publicitaire : l’empoisonnement de listes (des robots qui s’inscrivent avec des adresses fausses ou compromises) peut faire chuter votre délivrabilité et gaspiller votre budget publicitaire et marketing. On croit souvent que retirer le CAPTCHA réduit la friction et augmente les inscriptions, mais c’est aussi l’une des façons les plus courantes de laisser passer ce type d’attaque.
- Les attaques visant les pages d’atterrissage et la chaîne d’approvisionnement (y compris l’IA fantôme) : des pixels de suivi, des balises ou des modules d’extension compromis peuvent rediriger les utilisateurs ou laisser fuir des données. Ils sont souvent ajoutés par des spécialistes du marketing bien intentionnés qui veulent simplement « installer le pixel ». Cette catégorie comprend aussi l’IA fantôme : des employés qui utilisent des outils d’IA non approuvés avec des données de l’entreprise ou des clients, à l’insu de tous.
- La prise de contrôle de comptes SaaS : identifiants compromis, mots de passe partagés et absence d’authentification multifacteur. C’est la plus humaine des six portes et, selon Ben, l’une des plus faciles à verrouiller.
Les trois anneaux de défense pour la sécurité des courriels
Plutôt que de traiter ces risques comme six problèmes distincts, l’équipe de Ben chez ZeroArc organise la défense en trois anneaux concentriques. L’équipe marketing ou l’équipe de marque se trouve au centre et envoie ses courriels à travers chacun d’eux.
Anneau 1 : marque et boîte de réception
- Appliquez DMARC en mode « reject », et non seulement « none ». Une politique DMARC réglée à « none » ne fait que signaler les activités suspectes, sans les bloquer. C’est comme une caméra installée à votre porte d’entrée, mais qui ne la verrouille jamais.
- Filtrez votre boîte de réception avec un outil de détection de l’hameçonnage et de l’usurpation d’identité propulsé par l’IA. La vérification humaine seule n’est plus assez rapide.
- Surveillez vos domaines en continu pour repérer les domaines sosies avant vos clients.
Anneau 2 : comptes et humains
- Activez la surveillance de l’identité pour votre équipe, et pas seulement pour chaque employé à titre personnel. Si un membre de votre équipe se fait voler son identité, votre marque est aussi à risque.
- Verrouillez les accès avec l’authentification multifacteur partout et des permissions basées sur les rôles, révisées régulièrement. Si tout le monde a un accès administrateur à votre site WordPress, c’est un problème à régler aujourd’hui.
- Investissez dans une formation continue de sensibilisation à l’hameçonnage. Pas besoin que ce soit coûteux ou long : même 15 à 20 minutes par mois par personne font une réelle différence.
Anneau 3 : applications et IA
- Misez sur l’authentification unique (SSO) lorsque c’est possible, afin de gérer et de révoquer les accès de façon centralisée.
- Encadrez l’IA fantôme avec des politiques claires sur les outils approuvés et une visibilité sur les données qui entrent dans les outils d’IA et qui en sortent.
- Faites le ménage dans les anciennes clés API, connexions OAuth et accès administrateur laissés par des outils ou des membres de l’équipe qui ne sont plus utilisés. Quand vous changez de plateforme, ne laissez pas simplement l’ancien abonnement expirer : révoquez aussi l’autorisation SPF et désactivez les clés API inutilisées.
À quoi ressemble une vraie attaque
Pendant le webinaire, Ben a fait une démonstration en direct des outils de protection de marque et de surveillance des courriels de Cloudflare. Ceux-ci ont révélé des dizaines de domaines sosies enregistrés au cours du dernier mois seulement pour imiter des marques connues, et même une entreprise beaucoup plus petite.
Il a ensuite analysé un vrai courriel mis en quarantaine qui, sur papier, avait passé avec succès SPF, DKIM et DMARC. Ce n’est pas l’authentification qui l’a trahi, mais les détails : le domaine enregistré appartenait à une entreprise de prise de rendez-vous médicaux sans aucun lien, dont l’infrastructure avait apparemment été compromise, et le nom et l’entreprise de l’expéditeur ne correspondaient pas au secteur dont le courriel prétendait provenir. Un bon rappel : réussir les contrôles d’authentification confirme qu’un expéditeur est bien celui qu’il prétend être, mais pas qu’il est légitime.
Consentement et conformité : LCAP et Loi 25
La conformité est souvent perçue comme une simple case à cocher sur le plan juridique plutôt que comme un outil pour bâtir la confiance. Pourtant, les deux sont plus liés qu’il n’y paraît.
Comme l’a expliqué Nihal, directeur de la croissance chez Cyberimpact, le consentement et l’authentification sont les deux moitiés de la confiance dans la boîte de réception : la LCAP et la Loi 25 du Québec encadrent votre droit légal d’envoyer des courriels (au moyen d’un consentement exprès ou tacite), tandis que SPF, DKIM et DMARC constituent la preuve technique de votre identité. L’un ne remplace pas l’autre. Il vous faut les deux pour bâtir une vraie confiance auprès des fournisseurs de messagerie et de votre public.
Quelques points pratiques tirés de la discussion :
- Le consentement tacite n’est pas permanent, mais il peut rester valide grâce à de nouvelles transactions, comme un don renouvelé.
- Dans la mesure du possible, faites passer vos contacts du consentement tacite au consentement exprès le plus rapidement possible. C’est la forme de consentement la plus solide.
- L’endroit où vous stockez vos données compte. Cyberimpact est conçu en tenant compte de la résidence et de la souveraineté canadiennes des données, un facteur de plus en plus important pour la délivrabilité comme pour la confiance envers votre marque.
Bonnes pratiques de délivrabilité
Quelques habitudes distinguent les listes en santé de celles qui, au fil du temps, minent discrètement la confiance des fournisseurs de messagerie :
- Surveillez l’engagement, pas seulement les filtres antipourriel : les fournisseurs de messagerie tiennent de plus en plus compte du fait que les gens ouvrent vos courriels, cliquent et interagissent avec eux, et pas seulement du fait que votre objet évite les mots associés au pourriel.
- Lisez les raisons de désabonnement : elles révèlent parfois des problèmes que vous ne verriez pas autrement, par exemple des contacts qui reçoivent du pourriel provenant d’un domaine compromis sans s’en rendre compte.
- Gardez une identité de marque cohérente dans tous vos courriels, pour que votre public puisse vous reconnaître et vous faire confiance du premier coup d’œil.
Comment améliorer la sécurité de vos courriels dès maintenant
- Réglez votre politique DMARC à « reject », et non à « none », pour que les fraudeurs ne puissent pas envoyer de courriels qui se font passer pour les vôtres.
- Dressez la liste de tous les outils et fournisseurs autorisés à envoyer des courriels en votre nom, et révisez-la chaque trimestre.
- Activez l’authentification multifacteur partout. C’est gratuit, et si un fournisseur ne l’offre pas, c’est une bonne raison de le reconsidérer.
- Adoptez une politique sur l’IA fantôme qui précise quels outils sont approuvés, pour éviter que votre équipe trouve ses propres solutions de contournement.
- Encouragez le consentement exprès dès l’inscription à votre liste, plutôt que de vous fier au consentement tacite.
- Révisez votre processus de départ pour tout outil ou membre de l’équipe qui n’est plus actif. N’oubliez pas de révoquer les clés API, de supprimer les anciennes autorisations SPF et de retirer les accès administrateur inutilisés.
Comment Cyberimpact protège vos courriels
Cyberimpact est une plateforme canadienne de marketing par courriel conçue pour les organisations qui recherchent une excellente délivrabilité et une conformité simplifiée aux lois canadiennes sur la protection des données comme la LCAP, la LPRPDE et la Loi 25 du Québec. En plus de ses outils de gestion du consentement, Cyberimpact offre des contrôles d’accès basés sur les rôles, l’authentification multifacteur, la connexion SSO et des processus formels de réponse aux incidents pour protéger vos données et celles de votre public. Tous les détails se trouvent dans son Centre de confiance.
La sécurité n’est pas une fonctionnalité qu’on configure une fois pour toutes, peu importe de quel côté de la relation d’envoi on se trouve. Protéger votre marque en 2026 et au-delà, c’est combiner les bonnes bases techniques avec une responsabilité continue et partagée entre le marketing, les TI et vos fournisseurs.