Comment les failles d'authentification des e-mails créent des angles morts pour les équipes de sécurité

L'authentification est au cœur de la sécurité de la messagerie électronique, mais de nombreuses organisations la considèrent comme une configuration ponctuelle plutôt que comme une pratique de sécurité continue. Cela crée des angles morts que les attaquants exploitent pour contourner les contrôles, voler des identifiants et opérer au sein d'environnements de confiance sans être détectés.

Le problème ne réside pas seulement dans une mauvaise configuration, mais aussi dans un manque de visibilité. Les équipes de sécurité manquent souvent de visibilité sur le fonctionnement de l'authentification au sein des différents systèmes, protocoles et services cloud. Il est essentiel de bien cerner ces failles afin de les combler avant qu'elles ne deviennent des voies d'accès aux violations de sécurité.

Pourquoi l'authentification des e-mails constitue-t-elle un point faible caché ?

La plupart des organisations mettent en place des mesures d'authentification une seule fois et ne les réexaminent que rarement. Le protocole MFA est activé, les règles relatives aux mots de passe sont configurées, et l'attention se porte désormais sur d'autres aspects. Cela suppose que l'authentification est statique, alors qu'en réalité, elle évolue parallèlement à l'infrastructure et aux techniques utilisées par les pirates.

Les attaques modernes exploitent les failles existant entre les fournisseurs d'identité, les plateformes cloud et les systèmes existants. Ces angles morts permettent un accès non autorisé sans déclencher d'alerte, ce qui crée un faux sentiment de sécurité jusqu'à ce qu'une intrusion se produise.

Les failles les plus courantes en matière d'authentification des e-mails

Protocoles hérités qui contournent l'authentification à plusieurs facteurs (MFA)

Les protocoles IMAP et POP restent activés dans de nombreux environnements Microsoft 365 et Google Workspace, bien qu'ils ne prennent pas en charge l'authentification à plusieurs facteurs (MFA). Les pirates utilisent des identifiants volés pour accéder aux boîtes mail via ces protocoles, contournant ainsi les contrôles de sécurité modernes et apparaissant comme des utilisateurs légitimes dans les journaux.

Identité cloisonnée et visibilité dans le cloud

Les fournisseurs d'identité ne disposent souvent pas d'une visibilité complète sur les configurations de messagerie dans le cloud, tandis que les événements d'authentification entre les différents systèmes sont rarement mis en corrélation en temps réel. Les incohérences entre les plateformes de gestion des identités et les services cloud créent des voies d'accès exploitables que les attaquants s'efforcent activement de trouver.

Utilisation abusive d'applications OAuth tierces

Les applications SaaS connectées via OAuth se voient souvent attribuer des autorisations excessives et fonctionnent en dehors des processus d'authentification classiques. Une fois autorisées, ces applications conservent un accès permanent, même après un changement de mot de passe ou une mise à jour de l'authentification multifactorielle (MFA), ce qui permet aux pirates d'exploiter des jetons légitimes sans être détectés.

Vol de jetons et détournement de session

Les pirates s'emparent de plus en plus souvent de jetons de session plutôt que de mots de passe, contournant ainsi complètement l'authentification. La surveillance post-authentification reste insuffisante, ce qui permet à des sessions compromises de perdurer sans être détectées, en particulier dans les environnements cloud où les jetons ont souvent une durée de vie prolongée.

Dans la pratique, les failles d'authentification proviennent le plus souvent :

• Les protocoles hérités qui contournent l'authentification à plusieurs facteurs (MFA).
• Autorisations OAuth non surveillées et applications tierces.
• Identité fragmentée et visibilité du cloud.
• Une surveillance insuffisante après l'authentification.

Pourquoi les équipes de sécurité ne détectent-elles pas ces menaces ?

Sécurité des e-mails axée sur le périmètre

Les passerelles de messagerie sécurisées traditionnelles ont été conçues pour des environnements dans lesquels le trafic de messagerie transitait par des périmètres centralisés. Ils permettent d'analyser efficacement les messages entrants et de bloquer les menaces connues avant qu'elles n'atteignent les boîtes de réception des utilisateurs.

Cependant, les attaques « cloud-native » opèrent au sein même de Microsoft 365 et de Google Workspace, hors de portée des contrôles de périmètre. Lorsque les attaquants utilisent des identifiants volés ou des jetons OAuth compromis, ils contournent complètement les passerelles et opèrent au sein d'environnements de confiance où les solutions traditionnelles de sécurité des e-mails n'ont pratiquement aucune visibilité.

Outils de sécurité fragmentés

La plupart des entreprises utilisent des outils distincts pour la messagerie électronique, la gestion des identités, les applications SaaS et les terminaux, chacun disposant de ses propres alertes et tableaux de bord. Cette fragmentation oblige les équipes de sécurité à reconstituer les incidents à partir d'informations éparses provenant de différents systèmes, au lieu d'analyser les menaces de manière globale.

Les attaques en plusieurs étapes passent souvent inaperçues, car aucun outil single ne permet de visualiser l'ensemble de la chaîne d'attaque. Un pirate peut passer du phishing à l'usurpation d'identité, puis à l'exfiltration de données dans le cloud, tandis que chaque outil ne détecte qu'une partie de l'activité, ce qui masque la menace dans son ensemble.

Recours excessif aux contrôles d'authentification de base

De nombreuses organisations considèrent l'authentification comme une simple formalité : l'authentification multifactorielle (MFA) est activée, les protocoles obsolètes sont négligés et l'on part du principe que la sécurité est suffisante. Cette mentalité empêche la mise en place de stratégies d'authentification à plusieurs niveaux et faisant l'objet d'une surveillance continue, indispensables pour faire face aux menaces actuelles.

Les contrôles de base permettent de vérifier l'identité, mais ne fournissent pas d'informations sur le comportement ni le contexte. Les pirates utilisant des identifiants volés semblent souvent impossibles à distinguer des utilisateurs légitimes, tandis que la validation continue après la connexion reste peu courante. De ce fait, les sessions authentifiées sont considérées comme fiables par défaut, ce qui permet aux pirates d'agir sans être détectés.

L'impact concret des failles d'authentification

Le business email compromise aboutit souvent sans recourir à des malware ni à des liens malveillants. Les attaquants s'authentifient à l'aide d'identifiants volés et agissent à partir de comptes légitimes, ce qui rend leur détection difficile. Les attaques avancées par usurpation d'identité exploitent l'accès authentifié pour analyser les schémas de communication internes et mettre au point des campagnes d'ingénierie sociale extrêmement convaincantes.

Les attaques visant la chaîne d'approvisionnement commencent souvent par des failles d'authentification chez des partenaires ou des fournisseurs, ce qui permet aux attaquants de s'introduire en exploitant des relations de confiance. L'impact financier et sur la réputation va au-delà des pertes immédiates, le coût total des incidents de type BEC dépassant souvent les 5 millions de dollars lorsque l'on tient compte de l'ensemble des coûts.

Les organisations subissent généralement trois conséquences en cascade :

• Augmentation des cas de fraude et d'exfiltration de données via des accès authentifiés.
• Une détection tardive due à une visibilité limitée entre les différents systèmes.
• Des répercussions négatives à long terme sur la réputation et le cadre réglementaire.

Éliminer les angles morts au niveau du domaine grâce à DMARC

Pourquoi l'usurpation de nom de domaine reste une faille majeure

Le taux d'adoption mondial du protocole DMARC reste inférieur à 30 %, ce qui expose la majorité des domaines à des risques d'usurpation d'identité et de falsification. Les pirates exploitent cette faille en envoyant des e-mails qui semblent provenir de marques de confiance, trompant ainsi à la fois les utilisateurs et les systèmes de sécurité des e-mails qui s'appuient sur la réputation du domaine de l'expéditeur.

Le problème ne se limite pas à l'usurpation directe de nom de domaine. Les pirates exploitent des plateformes de messagerie légitimes telles que SendGrid et Mailgun pour envoyer des messages malveillants à partir d'infrastructures de confiance. Ces messages passent les contrôles SPF et DKIM car ils sont envoyés via des services légitimes, mais ils contournent les contrôles DMARC car la plupart des organisations n'ont pas encore pleinement mis en œuvre l'authentification basée sur le domaine.

Comment Mimecast DMARC Analyzer rétablit la visibilité

Mimecast DMARC Analyzer offre une visibilité complète sur les expéditeurs qui envoient des e-mails au nom de votre domaine, permettant ainsi de détecter les expéditeurs non autorisés avant qu’ils ne puissent nuire à votre image de marque ou tromper vos clients. La surveillance en temps réel de la conformité aux normes DKIM, SPF et DMARC permet de déterminer précisément quels messages sont authentifiés et lesquels ne le sont pas.

Sans les outils adaptés, la mise en œuvre de DMARC peut s'avérer complexe et prendre beaucoup de temps. Mimecast DMARC Analyzer simplifie ce processus grâce à des workflows guidés qui aident les entreprises à passer de la surveillance à l'application des règles sans perturber les flux d'e-mails légitimes. Cette visibilité comble une faille critique en matière d'authentification dont les pirates tirent parti depuis des années.

Le risque humain, principal angle mort

Manque de visibilité sur les utilisateurs ciblés

Les équipes de sécurité ne disposent souvent pas d'une vision claire des employés qui sont les plus exposés aux attaques. C'est un petit groupe d'utilisateurs qui est à l'origine de la plupart des incidents, mais les organisations ont généralement tendance à mettre en place des mesures de contrôle uniformes plutôt qu'une protection fondée sur les risques.

Les postes à haut risque, tels que ceux des cadres dirigeants, des équipes financières et des collaborateurs ayant accès à des données sensibles, nécessitent des contrôles sur mesure et des formations ciblées que les programmes de sensibilisation génériques ne peuvent pas offrir. Sans avoir une bonne visibilité sur les schémas de ciblage, les entreprises ne peuvent pas donner la priorité à la protection là où cela est le plus nécessaire.

Les angles morts croissants des outils de collaboration

Le courrier électronique n'est qu'un vecteur d'attaque parmi d'autres dans les environnements modernes. Les plateformes telles que Teams, Slack et Zoom créent de nouveaux risques d'exposition, car des informations sensibles transitent par plusieurs canaux de communication. La visibilité limitée sur ces plateformes crée des angles morts que les pirates exploitent activement.

Les données partagées via des outils de collaboration contournent souvent complètement les mesures de sécurité des e-mails. Le partage de fichiers, le chat et le partage d'écran fonctionnent selon des modèles de sécurité différents, ce qui rend indispensable une protection unified sur l'ensemble des canaux de communication.

L'informatique fantôme et les risques liés au personnel interne

Les outils non gérés créent des angles morts en matière de perte de données que les équipes de sécurité ne peuvent pas surveiller, car elles ignorent leur existence. Les employés utilisent fréquemment des services grand public de partage de fichiers, des espaces de stockage cloud personnels et des outils de collaboration non autorisés, qui constituent tous autant de voies potentielles d'exfiltration.

Les outils d'IA générative présentent un risque supplémentaire, car les employés partagent des informations sensibles avec des plateformes d'IA externes sans en comprendre les implications en matière de conservation des données ou de sécurité. Les organisations manquent souvent de visibilité sur les données qui quittent leur environnement et sur la manière dont celles-ci sont utilisées.

Des angles morts à la sécurité continue des e-mails

L'authentification doit passer d'une configuration ponctuelle à un processus de sécurité faisant l'objet d'une surveillance continue. Les entreprises ont besoin d'une visibilité en temps réel sur l'ensemble des domaines, des utilisateurs, des protocoles et des plateformes de collaboration afin de détecter les menaces qui dépassent les limites traditionnelles de la messagerie électronique.

La plateforme « Human Risk » de Mimecast associe la mise en œuvre de mesures d'authentification, l'analyse comportementale et la gestion des risques liés aux personnes afin de combler ces lacunes. En établissant des corrélations entre les événements d'authentification, le comportement des utilisateurs et l'activité dans le cloud, les entreprises peuvent détecter des menaces qui passaient auparavant inaperçues.

L'avenir de la sécurité des e-mails ne réside pas dans l'ajout d'outils supplémentaires, mais dans la mise en place d'une visibilité unified et d'une application adaptative des mesures d'authentification sur l'ensemble de la surface d'attaque. Les organisations qui adoptent cette approche transforment leurs angles morts en couches de sécurité solides, renforçant ainsi leur résilience face à un environnement de menaces de plus en plus complexe.