Un fournisseur envoie un courriel à votre équipe comptable avec un nouveau compte bancaire.
Le message semble normal. Le nom de l'expéditeur est familier. La facture est réelle. Le seul problème, c'est que le compte bancaire ne l'est pas.
La sécurité du courriel ne se limite pas à bloquer les pourriels évidents. Pour une petite entreprise moderne, le courriel se situe à l'intersection de l'identité, des finances, des données et des opérations quotidiennes. C'est pourquoi il mérite d'être traité comme un système d'affaires, et non simplement comme une boîte de réception.
Commencez par le compte
La première couche est la boîte de réception elle-même.
Si un attaquant prend le contrôle d'un compte de courriel d'entreprise, il peut avoir accès aux conversations, aux documents, aux contacts, aux calendriers et aux renseignements pouvant servir à usurper l'identité de l'employé.
ORAGROL sépare donc la sécurité du courriel de l'authentification multifacteur, des mots de passe et de la sécurité de connexion, ainsi que du contrôle d'accès et des permissions dans son évaluation Cyber Health. Ces éléments se chevauchent, mais ce ne sont pas les mêmes problèmes.
Une révision pratique devrait confirmer que la MFA est activée pour les comptes de courriel importants, que les mots de passe sont uniques, que les comptes des anciens utilisateurs sont désactivés, que l'accès administratif est restreint, que l'activité de connexion suspecte peut être détectée, et que les employés savent comment signaler des messages suspects.
Protégez ensuite le domaine
La sécurité du courriel concerne aussi le domaine qui envoie vos messages.
Les directives du Centre canadien pour la cybersécurité sur la sécurité du courriel expliquent le rôle du SPF, du DKIM et du DMARC dans l'authentification du courriel et la réduction de l'usurpation et de l'imitation d'identité. [Source : Centre canadien pour la cybersécurité, meilleures pratiques de sécurité du courriel]
En termes simples : le SPF aide les systèmes destinataires à vérifier si un serveur d'envoi est autorisé à envoyer du courriel pour un domaine. Le DKIM aide à vérifier l'intégrité et l'authenticité des messages associés à un domaine. Le DMARC s'appuie sur le SPF et le DKIM et permet au propriétaire d'un domaine de publier une politique pour le traitement des messages qui échouent aux vérifications d'authentification.
Ces contrôles ne remplacent pas la sensibilisation des employés ni la sécurité des comptes. Ils renforcent la capacité du domaine à se défendre contre l'usurpation d'identité.
Le problème du courriel est aussi un problème de paiement
Prenons l'exemple d'un petit cabinet de services professionnels. Un attaquant obtient l'accès à une boîte de réception et observe une conversation sur un paiement client. Plutôt que d'envoyer un message d'hameçonnage aléatoire, l'attaquant attend le bon moment et modifie les instructions de paiement.
C'est pourquoi la sécurité du courriel a sa place dans une conversation sur le risque d'affaires. La question n'est pas simplement « Avons-nous un filtrage antipourriel? » C'est « Que pourrait faire quelqu'un s'il contrôlait cette boîte de réception? » Cette question change la priorité.
Enseignez aux employés à quoi ressemble la vérification
Les contrôles techniques comptent, mais ce sont les gens qui prennent les décisions.
Le Centre canadien pour la cybersécurité recommande de former les employés à reconnaître les courriels et liens malveillants, tandis que les directives actuelles du NIST pour les petites entreprises insistent aussi sur la sensibilisation à l'hameçonnage et la vérification des demandes suspectes. [Sources : Centre canadien pour la cybersécurité; NIST Small Business Cybersecurity]
La formation la plus utile est précise. Si un courriel demande un changement de paiement, des renseignements sensibles, une réinitialisation de mot de passe, une connexion urgente ou un nouveau compte bancaire de fournisseur, ne vérifiez pas la demande à l'aide des coordonnées contenues dans le message. Utilisez un numéro de téléphone connu, un contact établi ou un autre canal de communication de confiance.
Ce petit changement de procédure peut avoir plus d'impact qu'une autre heure de diapositives génériques de sensibilisation à la sécurité.
L'IA rend les messages suspects plus difficiles à écarter
Les fautes d'orthographe étaient autrefois un signal d'alarme facile à repérer. Ce n'est plus suffisant aujourd'hui.
Les messages d'hameçonnage modernes peuvent être soignés, personnalisés et rédigés pour ressembler à une communication d'affaires légitime. Les directives actuelles du NIST sur l'hameçonnage pour les petites entreprises notent spécifiquement que l'IA peut être utilisée pour créer des tentatives d'hameçonnage de plus en plus convaincantes. [Source : NIST Small Business Cybersecurity, Phishing]
Cela signifie que la formation devrait moins porter sur « repérer la faute de frappe » et davantage sur : Que me demande ce message de faire? L'urgence, les changements de paiement, les demandes d'identifiants, les pièces jointes inattendues et les instructions inhabituelles méritent une vérification, même lorsque le message semble professionnel.
La sécurité du courriel est un système, pas un produit
Une posture mature de sécurité du courriel combine la protection de l'identité, la MFA, une authentification robuste, le filtrage du courriel, le SPF/DKIM/DMARC, la sensibilisation des employés, les contrôles d'accès, le signalement des incidents et les procédures de réponse.
Ces éléments correspondent directement à plusieurs domaines de l'évaluation Cyber Health d'ORAGROL, ce qui est utile, car cela permet à une PME de voir le risque lié au courriel comme faisant partie d'une posture de sécurité plus large, plutôt que comme un achat logiciel isolé.