Boîte mail : la porte d'entrée des cybercriminels (et pourquoi vous devriez la sécuriser !)

Votre compte de messagerie électronique n’est pas un simple moyen de communication, ni un compte en ligne parmi tant d’autres. Dans notre vie personnelle comme professionnelle, il constitue une véritable clé d’accès à notre univers numérique. Il permet souvent de réinitialiser les mots de passe d’autres comptes et de confirmer notre identité. C’est également dans notre boîte de réception que nous recevons les liens de réinitialisation de mot de passe, les alertes de sécurité, les confirmations de réservation, les factures ou encore les demandes de vérification d’identité.

Au fil des années, votre boîte mail accumule ainsi une quantité considérable d’informations vous concernant : ce que vous possédez, les services que vous utilisez, les lieux que vous fréquentez, les personnes ou organisations auxquelles vous faites confiance, ainsi que les moyens d’accéder à vos autres comptes.

C’est précisément pour cette raison qu’elle représente une cible de choix pour les cybercriminels. Si vous souhaitez protéger vos comptes, vos données personnelles ou celles de votre entreprise, la sécurité doit commencer par votre boîte de réception.

Pourquoi les pirates convoitent votre boîte de réception

Si les cybercriminels cherchent avant tout à accéder à votre boîte mail, c'est parce qu'elle leur ouvre la porte du reste de votre vie numérique. Une fois votre compte de messagerie compromis, ils peuvent réinitialiser les mots de passe de nombreux autres services et comptes en ligne et intercepter les codes de vérification à usage unique envoyés par votre banque, vos réseaux sociaux, votre espace de stockage dans le cloud ou d'autres services.

Ils peuvent également chercher à rester invisibles en configurant des règles de transfert automatique afin de continuer à recevoir vos e-mails, même lorsque vous pensez avoir résolu le problème. Autrement dit, même après avoir changé votre mot de passe, les liens et codes de réinitialisation peuvent continuer à leur parvenir. Certains vont encore plus loin en exploitant des jetons d'authentification, des applications connectées ou des sessions actives pour conserver leur accès.

Les pirates peuvent aussi consulter vos photos afin de les utiliser à des fins de chantage, ou espionner vos échanges. Ces informations leur permettent ensuite de préparer des campagnes de phishing particulièrement crédibles, en se faisant passer pour une organisation avec laquelle vous êtes en relation. Ils peuvent ainsi vous demander de verser de l'argent, de régler de prétendus frais ou de communiquer des informations personnelles destinées à usurper votre identité. Plus ils disposent de renseignements sur vous (notamment sur vos comptes et vos habitudes), plus leurs tentatives de fraude paraîtront convaincantes.

De manière générale, le phishing reste une menace majeure et ne montre aucun signe de recul. Bien au contraire : les données de télémétrie d'ESET révèlent une hausse de 36 % du nombre d'e-mails malveillants détectés au second semestre 2025 par rapport aux six mois précédents.

Les conséquences peuvent être encore plus graves dans un contexte professionnel. En prenant le contrôle de votre messagerie d'entreprise, des cybercriminels peuvent accéder à vos applications cloud, aux espaces de stockage partagés, aux outils de gestion de la relation client (CRM), aux systèmes financiers et RH, consulter vos échanges avec vos collègues et vos clients et mettre la main sur des données sensibles.

Le piratage d'une messagerie professionnelle constitue souvent la première étape d'une attaque de plus grande ampleur : fuite de données, extorsion, déploiement d'un rançongiciel (ransomware) ou encore espionnage. Selon de récentes statistiques du gouvernement britannique, le phishing a été la forme de cyberattaque la plus répandue au cours de l'année écoulée (38 %), devant les e-mails dans lesquels des fraudeurs se faisaient passer pour des organisations légitimes (12 %).

Il devient de plus en plus difficile de protéger sa boîte mail

Si l'e-mail reste une cible privilégiée des cybercriminels, c'est parce qu'il se trouve au croisement de la technologie, de l'identité numérique et de la confiance. Le phishing s'attaque à ce qui constitue sans doute le maillon le plus faible de la chaîne de sécurité : l'humain.

Chaque jour, nous consultons nos e-mails dans l'urgence pour recevoir des factures, suivre des livraisons, prendre connaissance d'informations RH, répondre à des demandes de clients, réinitialiser des mots de passe, accepter des invitations à des réunions ou encore consulter des alertes de sécurité. Beaucoup de ces messages nous invitent à cliquer sur un lien, valider une action, télécharger un document, répondre ou effectuer un paiement.

Les cybercriminels exploitent ces habitudes : même les utilisateurs les plus vigilants peuvent se laisser piéger lorsqu'un message semble provenir d'un expéditeur de confiance, arrive à un moment de forte activité ou joue sur le sentiment d'urgence. En combinant usurpation d'identité et techniques d'ingénierie sociale, ils augmentent considérablement leurs chances de réussite.

Selon Verizon, le facteur humain est intervenu dans 62 % des violations de données recensées l'an dernier. L'ingénierie sociale constitue par ailleurs le troisième mode d'attaque le plus fréquent, représentant 16 % de l'ensemble des incidents. Et les cybercriminels ne cessent d'innover pour tromper leurs victimes. Le rapport souligne notamment que, lors des simulations de phishing, le taux médian de clics « réussis » est 40 % plus élevé sur les appareils mobiles que pour les e-mails consultés sur ordinateur.

Les attaquants s'appuient également sur des outils toujours plus sophistiqués pour accroître l'efficacité de leurs campagnes de phishing par e-mail. L'intelligence artificielle générative (IA générative ou GenAI) leur permet notamment de produire à grande échelle des messages rédigés dans un style irréprochable, sans fautes d'orthographe ni de grammaire, ce qui les rend encore plus crédibles.

BEC : le piratage d'e-mails qui ruine les entreprises

Parmi les cyberattaques les plus dévastatrices et les plus coûteuses jamais recensées, nombreuses sont celles qui ont commencé par le piratage d'une boîte de messagerie.

Le Business Email Compromise (BEC) désigne une attaque reposant sur la compromission ou l'usurpation d'une messagerie professionnelle afin de convaincre une victime d'effectuer une action frauduleuse, le plus souvent un virement bancaire ou la transmission d'informations confidentielles.

En voici quelques exemples :

• Facebook et Google : les deux géants de la technologie ont été escroqués de plus de 120 millions de dollars après avoir reçu de fausses factures envoyées par un cybercriminel se faisant passer pour un fournisseur légitime. Les documents joints avaient été falsifiés afin de rendre la fraude crédible.
• Children's Healthcare of Atlanta : après l'annonce publique de la désignation d'une entreprise de construction comme maître d'œuvre d'un nouveau bâtiment de l'hôpital, des fraudeurs ont rapidement envoyé une demande de paiement en usurpant l'identité de cette société. Ils auraient reproduit son papier à en-tête ainsi que son adresse e-mail et signé le message au nom de son directeur financier (CFO).
• Banque Crelan : l'établissement bancaire a perdu plus de 75 millions de dollars après qu'un employé a été convaincu d'effectuer un virement vers un compte contrôlé par des escrocs. Selon les informations disponibles, les fraudeurs avaient d'abord compromis la boîte mail d'un dirigeant avant d'usurper l'identité du PDG de l'entreprise pour donner leurs instructions.

Comment protéger votre boîte mail efficacement ?

Si vous êtes un particulier, utilisez un mot de passe fort et unique (ou une phrase de passe) pour chacun de vos comptes, et stockez-les dans un gestionnaire de mots de passe reconnu. Vous pouvez également opter pour une méthode d'authentification sans mot de passe, comme les passkeys (clés d'accès, telles que Yubikey). Dans tous les cas, activez l'authentification multifacteur (MFA) dès qu'elle est disponible, ce qui est aujourd'hui le cas pour la grande majorité des services.

Veillez également à maintenir à jour vos options de récupération de compte. Assurez-vous notamment qu'un ancien numéro de téléphone ou une adresse e-mail de secours oubliée ne puisse pas être utilisé pour reprendre le contrôle de votre compte.

Il est également recommandé de vérifier régulièrement les paramètres de votre messagerie. Recherchez d'éventuelles règles de transfert automatique que vous ne reconnaissez pas, des filtres suspects, des applications connectées inconnues ou encore des appareils auxquels vous ne vous souvenez pas avoir autorisé l'accès. Si vous pensez que votre boîte mail a été compromise, changez immédiatement votre mot de passe, mettez fin aux sessions suspectes, vérifiez vos informations de récupération et assurez-vous qu'aucun message n'est transféré à votre insu.

Parmi les autres bonnes pratiques à adopter :

• Soyez vigilant face au phishing. Méfiez-vous de tout e-mail non sollicité. Vérifiez l'identité de l'expéditeur en affichant son adresse complète et assurez-vous que le nom de domaine ne comporte pas de faute ou d'anomalie. Ne cliquez pas sur les liens et n'ouvrez pas les pièces jointes provenant d'un message inattendu. En cas de doute, contactez directement l'expéditeur par un autre moyen.
• N'approuvez jamais une demande d'authentification que vous n'avez pas initiée. Si vous recevez une demande de validation MFA ou un code de connexion sur votre téléphone sans en être à l'origine, refusez-la : il peut s'agir d'une tentative de piratage.
• Maintenez à jour vos informations de récupération de compte. Vérifiez régulièrement que vos coordonnées de secours sont correctes et toujours accessibles.
• En entreprise, méfiez-vous des demandes urgentes de virement. Même si elles semblent provenir de votre direction, du service informatique ou d'un collègue, prenez toujours le temps de vérifier leur authenticité par un autre canal de communication.
• Participez activement aux formations de sensibilisation à la cybersécurité. Elles permettent de mieux reconnaître les techniques de phishing et d'ingénierie sociale utilisées par les cybercriminels.
• Protégez vos appareils avec une solution de sécurité complète et reconnue. Elle contribuera à bloquer les logiciels malveillants ainsi que les e-mails et messages suspects avant qu'ils ne puissent vous atteindre.

L'e-mail est devenu un outil incontournable du quotidien. C'est aussi ce qui en fait une cible permanente pour les cybercriminels. Heureusement, une boîte mail n'est pas condamnée à être vulnérable. En adoptant les bonnes pratiques et les mesures de protection adaptées, vous réduirez considérablement les risques et mettrez toutes les chances de votre côté pour rester en sécurité en ligne.