Chaque jour, des millions de courriers frauduleux atteignent les boîtes de réception des entreprises et des particuliers. La réponse instinctive consiste à bloquer les emails de phishing avant qu’ils n’arrivent à destination. Cette approche paraît logique, mais sa mise en œuvre technique soulève des questions que la plupart des guides de bonnes pratiques n’abordent pas.
Blocage des emails de phishing : ce que les filtres interceptent vraiment
Les filtres anti-phishing intégrés aux grandes messageries analysent plusieurs signaux : réputation de l’expéditeur, présence de liens suspects, cohérence entre le domaine affiché et le domaine réel. Quand un mail coche suffisamment de critères, il est redirigé vers le dossier spam ou rejeté.
A lire aussi : En quoi croient les hackers ?
Cette première couche de protection fonctionne bien contre les campagnes de masse, celles qui envoient le même message à des centaines de milliers d’adresses. En revanche, les attaques ciblées posent un tout autre problème.
Un mail de phishing personnalisé, rédigé sans faute, envoyé depuis un domaine récemment créé ou même depuis une boîte légitime compromise, passe régulièrement entre les mailles. Les filtres automatiques ne détectent qu’une partie des tentatives, et cette partie varie selon la sophistication de l’attaque.
A lire également : Quel gestionnaire de mots de passe n’a jamais été piraté ?
DMARC, SPF, DKIM : la protection côté domaine et ses limites
Depuis 2024-2025, les grandes messageries comme Gmail et Yahoo ont renforcé leurs exigences techniques. Les protocoles SPF, DKIM et DMARC permettent au propriétaire d’un domaine de déclarer quels serveurs sont autorisés à envoyer des mails en son nom. Quand un message échoue à ces vérifications, il peut être rejeté automatiquement.
Le déploiement de DMARC en mode strict (politique reject) représente le niveau de blocage le plus efficace contre l’usurpation exacte d’un domaine. Mais cette mise en place exige une phase d’observation préalable en mode none.
Pourquoi un blocage DMARC trop rapide pose problème
Passer directement en mode rejet sans audit préalable risque de bloquer des messages légitimes envoyés par un CRM, un outil de facturation ou un prestataire. Ces outils envoient souvent des mails au nom du domaine de l’entreprise, mais depuis des serveurs tiers non déclarés dans les enregistrements SPF.
La correction passe par un inventaire complet des sources d’envoi légitimes avant tout durcissement. Sans cette étape, le remède crée un nouveau problème : des factures, confirmations de commande ou notifications internes qui disparaissent sans que personne ne s’en aperçoive.
Ce que DMARC ne couvre pas
Même correctement configuré, DMARC ne protège pas contre les domaines ressemblants ni contre les boîtes mail compromises. Un attaquant qui enregistre un domaine visuellement proche (une lettre modifiée, un tiret ajouté) n’usurpe pas le domaine légitime : il utilise le sien, avec ses propres enregistrements SPF et DKIM parfaitement valides.
Les attaques dites de compromission de messagerie professionnelle (BEC) exploitent ce point aveugle. L’expéditeur est techniquement authentifié, le contenu ne contient ni lien suspect ni pièce jointe malveillante, et le message demande simplement un virement ou un changement de coordonnées bancaires.
Phishing multicanal : quand bloquer un mail ne suffit plus
Les campagnes récentes ne se limitent plus au courrier électronique. Une tentative peut commencer par un SMS, se poursuivre par un appel téléphonique, puis se conclure par un email qui semble confirmer les échanges précédents. Dans ce scénario, le blocage du mail seul n’interrompt pas la chaîne d’attaque.
Ce phénomène complique la stratégie de sécurité. Un filtre email performant donne un faux sentiment de protection s’il ne s’inscrit pas dans une approche plus large.
- Les SMS de phishing (smishing) échappent totalement aux filtres de messagerie et ciblent les mêmes données que les mails frauduleux.
- Les appels vocaux avec voix clonée par intelligence artificielle permettent de crédibiliser un scénario d’urgence avant l’envoi du mail piégé.
- Les messages via des plateformes collaboratives (Teams, Slack) contournent la protection email sans déclencher d’alerte côté sécurité du courrier.
Bloquer les mails reste une brique de protection, mais une brique parmi d’autres. Les données disponibles ne permettent pas de quantifier précisément la part d’attaques multicanales, mais les retours terrain indiquent une progression nette depuis deux ans.
Faut-il tout bloquer ? Le coût caché du filtrage agressif
Un filtrage très strict réduit le nombre de mails de phishing qui atteignent la boîte de réception. Il augmente aussi le nombre de faux positifs, ces messages légitimes classés à tort comme dangereux.
Pour un particulier, retrouver un mail dans le dossier spam reste un désagrément mineur. Pour une entreprise, un bon de commande ou une relance fournisseur bloquée pendant plusieurs jours peut avoir des conséquences financières concrètes. Le réglage du filtrage est un arbitrage entre sécurité et fluidité opérationnelle, pas un curseur qu’on pousse au maximum.
Signaler plutôt que simplement bloquer
Le signalement des tentatives de phishing alimente les bases de données utilisées par les filtres. Chaque mail signalé sur des plateformes comme Phishing Initiative ou directement via les boutons de signalement des messageries améliore la détection collective.
- Signaler un mail de phishing à sa messagerie permet d’entraîner le filtre anti-spam sur de nouveaux patterns d’attaque.
- Transférer le message à l’organisme usurpé (banque, administration) accélère le blocage du site frauduleux lié.
- En entreprise, remonter la tentative à l’équipe sécurité déclenche une vérification sur l’ensemble des boîtes du domaine.
Signaler un phishing a plus d’impact collectif que le simple blocage individuel. Le blocage protège une boîte, le signalement protège un réseau.
Protection anti-phishing : les trois couches qui fonctionnent ensemble
La question initiale, faut-il bloquer les emails de phishing, appelle une réponse nuancée. Le blocage technique (filtres, DMARC, SPF, DKIM) constitue un socle nécessaire. Il ne remplace ni la vigilance humaine face aux messages qui passent les filtres, ni les procédures organisationnelles qui empêchent un clic malheureux de se transformer en incident.
Aucune de ces trois couches ne fonctionne seule. Un filtre parfait n’existe pas, un utilisateur formé peut quand même se faire piéger un jour de fatigue, et une procédure de double validation n’a de valeur que si elle est appliquée. Le blocage des mails de phishing est une condition nécessaire, pas une solution complète. La vraie question n’est pas de savoir s’il faut bloquer, mais ce qu’on fait de tout ce que le blocage ne peut pas intercepter.
