oktosolutions.caDerniers 7 jours Ce que c’est
Le filtrage des messages entrants, l’authentification du domaine par SPF, DKIM et DMARC, et la sensibilisation des utilisateurs, gérés comme un seul service plutôt qu’un réglage à la fois.
Cybersécurité
Protection des courriels pour PME : hameçonnage, usurpation d’identité et filtrage
Le courriel reste la porte d’entrée la plus utilisée pour atteindre une PME, parce qu’il ne demande aucune faille technique : il suffit d’écrire à quelqu’un. Cette page explique ce qui protège une boîte de courriel d’entreprise, comment on empêche un inconnu d’écrire au nom de votre domaine, et ce qu’OKTO Solutions met en place chez les organisations québécoises.
La protection des courriels tient à trois choses menées ensemble : un filtrage qui arrête ce qui entre, une authentification de domaine par SPF, DKIM et DMARC qui empêche l’usurpation, et des employés capables de reconnaître une demande anormale. Prises séparément, aucune des trois ne suffit.
L’essentiel
La protection des courriels en trois points
Le filtrage, l’identité du domaine et le réflexe des personnes forment un seul service. Réglés séparément, les trois laissent chacun une porte ouverte.
Pour qui
Toute organisation qui utilise Microsoft 365 ou Google Workspace et qui reçoit par courriel des factures, des demandes de paiement, des dossiers d’employés ou des renseignements personnels.
Ce que ça change
Les messages frauduleux qui atteignent les boîtes deviennent rares, plus personne ne peut écrire au nom de votre domaine, et un changement de coordonnées bancaires est vérifié avant d’être payé.
Le contexte
Pourquoi le courriel est la première cible d’une PME
Une PME publie ses adresses partout : sur son site, dans les signatures, sur LinkedIn, au bas de ses factures. Un attaquant n’a donc rien à percer pour vous joindre. Il lui reste à se faire passer pour quelqu’un que vous connaissez déjà.
Trois familles d’attaque reviennent constamment. L’hameçonnage classique amène un employé à taper son mot de passe sur une fausse page Microsoft 365. La fraude du fournisseur ou du dirigeant demande de changer un numéro de compte bancaire sur une facture authentique en tous points. Et la prise de contrôle d’une boîte permet à l’attaquant de répondre à l’intérieur d’un fil de discussion réel, ce qui est presque impossible à repérer à l’oeil.
Le point commun des trois : elles n’exploitent pas une faille du logiciel, elles exploitent une habitude de travail. Un antivirus n’y change rien. Il faut agir en même temps sur le filtrage, sur l’identité du domaine et sur le réflexe des personnes.
- L’hameçonnage classique, qui vise le mot de passe
- La fraude au changement de coordonnées bancaires
- La réponse envoyée depuis une boîte déjà prise en main
Ce qui est mis en place
Ce qu’on installe pour protéger vos courriels
La protection se bâtit en couches, et chaque couche arrête ce que la précédente laisse passer. Voici ce qui est posé chez un client, dans cet ordre.
Le filtrage des messages entrants
Ce que c’est. Les messages sont analysés avant d’atteindre la boîte : pièces jointes, liens, réputation de l’expéditeur, ressemblance du domaine avec le vôtre ou avec celui d’un fournisseur connu.
Ce que ça donne. La grande majorité des messages frauduleux n’arrivent jamais devant l’employé, donc il n’a jamais à décider s’il clique.
L’authentification du domaine : SPF, DKIM et DMARC
Ce que c’est. SPF déclare publiquement quels serveurs ont le droit d’envoyer du courriel en votre nom. DKIM signe chaque message sortant. DMARC dit aux serveurs receveurs quoi faire quand la signature ne correspond pas, et fait remonter un rapport.
Ce que ça donne. Un inconnu ne peut plus écrire à vos clients en se présentant comme vous. C’est la seule mesure qui protège les gens à l’extérieur de votre organisation.
L’authentification multifacteur sur toutes les boîtes
Ce que c’est. Un deuxième facteur est exigé à la connexion, et les anciens protocoles qui permettent de le contourner sont désactivés.
Ce que ça donne. Un mot de passe volé sur une fausse page ne suffit plus pour entrer dans la boîte.
La surveillance des règles de boîte
Ce que c’est. Les règles de redirection et de suppression automatique sont inventoriées, et la création d’une nouvelle règle par un compte est signalée.
Ce que ça donne. Le premier geste d’un attaquant entré dans une boîte est de créer une règle pour cacher ses traces. On le voit tout de suite.
Le marquage des messages venant de l’extérieur
Ce que c’est. Une bannière visible est ajoutée aux messages provenant de l’extérieur de l’organisation.
Ce que ça donne. Un employé qui reçoit une demande urgente de la part du président voit immédiatement que le message ne vient pas de l’interne.
La sensibilisation et les simulations d’hameçonnage
Ce que c’est. Le module vCIO d’OKTO comprend quatre simulations d’hameçonnage par année, avec le suivi des personnes qui ont cliqué et un rappel des bons réflexes.
Ce que ça donne. Le réflexe se maintient dans le temps au lieu de disparaître trois semaines après une formation unique.
Les signes
Comment savoir si une boîte de courriel est déjà compromise
Une boîte compromise ne déclenche pas d’alarme. Elle se manifeste par des détails que personne ne regarde. Si vous reconnaissez un de ces signes, traitez-le comme un incident, pas comme une curiosité.
- Des messages partis de votre adresse dont vous n’avez aucune trace dans les éléments envoyés
- Une règle de boîte que personne n’a créée, qui déplace ou supprime automatiquement certaines réponses
- Des connexions réussies depuis un pays où personne dans l’entreprise ne travaille
- Un fournisseur qui confirme avoir reçu de vous une nouvelle coordonnée bancaire que vous n’avez jamais envoyée
- Des collègues qui reçoivent de vous une réponse que vous n’avez jamais écrite
- Une demande de réinitialisation de mot de passe que personne n’a demandée
- Un client qui répond dans un fil de discussion que vous ne reconnaissez pas
Le déroulement
Comment se déroule la mise en place chez vous
Le travail se fait en quatre temps, et rien n’est durci avant d’avoir été observé. Une règle DMARC posée trop vite coupe les infolettres, les rappels de rendez-vous et les factures automatiques.
Constater l’état actuel
On lit votre configuration DNS, vos règles de transport, l’état de l’authentification multifacteur et l’historique de connexion des boîtes. Vous recevez la liste de ce qui est déjà en place et de ce qui manque, avant qu’on propose quoi que ce soit.
Sécuriser l’identité du domaine
SPF, DKIM et DMARC sont posés dans l’ordre, DMARC d’abord en mode observation. On identifie tous les services qui envoient déjà du courriel en votre nom, comme l’infolettre, le logiciel comptable ou le formulaire du site, avant de durcir la règle.
Fermer les accès faibles
Authentification multifacteur sur toutes les boîtes, retrait des protocoles d’authentification anciens, révision des règles de redirection existantes, des boîtes partagées et des comptes de service oubliés.
Entretenir et mesurer
Les rapports DMARC sont lus chaque mois, les nouvelles sources d’envoi sont déclarées au fur et à mesure, et les employés reçoivent des simulations d’hameçonnage pour garder le réflexe.
La suite logique
Ce que la protection des courriels touche ailleurs
Une boîte compromise ne reste jamais un problème de courriel. Elle ouvre sur les fichiers, sur les paiements et sur vos obligations envers les personnes dont vous détenez les renseignements.
- Le courriel est la première porte d’entrée du rançongiciel
- L’état réel de vos réglages se mesure par l'audit Microsoft 365 et par l'audit de cybersécurité
- Le registre d’incidents et l’avis aux personnes concernées relèvent de la conformité à la Loi 25
- L’entretien au quotidien fait partie de nos services TI gérés et de nos services de cybersécurité
Pour aller plus loin
Deux textes de notre blogue
- SPF, DKIM et DMARC : protéger le courriel de votre PME au Québec
- Simulation d’hameçonnage pour PME : tester vos employés au Québec
Où on intervient. Ce service est offert partout au Québec. Notre bureau est à Trois-Rivières et nous nous déplaçons quand le mandat le demande. Voyez le détail pour Trois-Rivières, la Mauricie ou les autres régions desservies.
Foire aux questions
Questions fréquentes sur la protection des courriels
Microsoft 365 protège-t-il déjà mes courriels ?
En partie seulement. Microsoft 365 filtre le pourriel et une part des messages malveillants, mais il ne configure pas SPF, DKIM et DMARC pour votre domaine, il n’impose pas l’authentification multifacteur, il ne surveille pas la création de règles de boîte suspectes et il ne forme personne. Ces réglages existent dans le portail : ils ne s’activent pas tout seuls. Notre travail consiste justement à les poser, à les surveiller et à les tenir à jour.
Qu’est-ce que DMARC, en clair ?
DMARC est une règle publique attachée à votre nom de domaine qui dit aux serveurs de courriel du monde entier quoi faire d’un message qui prétend venir de chez vous mais qui n’a pas la bonne signature : le laisser passer, le mettre en quarantaine ou le rejeter. Sans DMARC, n’importe qui peut écrire à vos clients en affichant votre adresse. Avec DMARC en mode rejet, la tentative est bloquée avant même d’arriver.
Combien de temps prend la mise en place de SPF, DKIM et DMARC ?
Les enregistrements se posent en une seule intervention. Ce qui prend du temps, c’est la phase d’observation avant de durcir DMARC : nous comptons 4 à 6 semaines en mode observation, le temps de voir passer un cycle complet d’envois, ce qui comprend les infolettres, la facturation mensuelle et les rappels automatiques. Une fois tous les envois légitimes identifiés, on passe en quarantaine, puis en rejet. Cette fourchette est ce que nous observons, et on vous donne une date précise après avoir lu votre DNS et vos rapports.
Un employé a cliqué et entré son mot de passe. Que faut-il faire ?
Dans l’ordre : changer le mot de passe et révoquer les sessions ouvertes, vérifier les règles de boîte et les supprimer si elles ne sont pas légitimes, examiner l’historique de connexion pour savoir ce qui a été consulté, prévenir les personnes avec qui l’employé correspondait, et documenter l’incident. La Loi 25 impose de tenir un registre des incidents de confidentialité et d’aviser la Commission d’accès à l’information lorsque l’incident présente un risque de préjudice sérieux.
Le filtrage va-t-il bloquer des courriels légitimes ?
Un filtrage mal réglé le fait, oui. C’est pour cette raison que la mise en route se fait en observation, que les expéditeurs de confiance sont déclarés dès le départ, et qu’une personne est désignée pour libérer un message retenu par erreur. Un filtre qu’on ne peut pas ajuster rapidement finit toujours par être désactivé au complet, ce qui est pire que de ne rien avoir installé.
Les outils suffisent-ils, ou faut-il vraiment former les employés ?
Les outils arrêtent l’essentiel du volume, mais pas la demande écrite à la main par une personne qui a pris le temps de lire votre site. La fraude au virement bancaire ne contient ni pièce jointe ni lien : aucun filtre ne peut la reconnaître à coup sûr. Ce qui l’arrête, c’est une règle interne simple, comme valider tout changement de coordonnées bancaires par téléphone à un numéro déjà connu.
La Loi 25 s’applique-t-elle à une boîte de courriel compromise ?
Oui, dès que la boîte contient des renseignements personnels, ce qui est presque toujours le cas. La Commission d’accès à l’information du Québec décrit les obligations de l’entreprise lors d’un incident de confidentialité, dont la tenue d’un registre et l’avis aux personnes concernées quand le risque de préjudice sérieux existe.
Faire vérifier la protection de vos courriels
On lit votre configuration actuelle et on vous dit ce qui manque, sans engagement. Si tout est déjà en place, on vous le dira aussi.