L’email reste un véritable champ de bataille en cybersécurité. Non par nostalgie de l’époque du « spam », mais parce qu’il demeure le canal le plus rentable pour faire monter en puissance les arnaques, voler des identifiants et diffuser des malwares. Le dernier rapport annuel de Kaspersky confirme cette tendance avec des chiffres saisissants : en 2025, 44,99 % du trafic mondial d’emails était constitué de spam, et les utilisateurs — particuliers comme entreprises — ont été confrontés à plus de 144 millions de fichiers malveillants ou potentiellement indésirables en pièces jointes, soit une augmentation de 15 % par rapport à l’année précédente.

Au-delà du volume, ce qui inquiète les entreprises, c’est la mutation des formes d’attaque. L’email ne vient plus seul. De plus en plus, des campagnes commencent dans la boîte de réception, mais cherchent à se poursuivre via d’autres canaux : un message qui incite à passer sur WhatsApp ou Telegram, un appel à un faux support technique, un lien menant vers un formulaire, puis une conversation avec un supposé « conseiller ». L’email est ainsi le déclencheur d’une chaîne multicanal où l’ingénierie sociale s’adapte à l’environnement et à la victime.

Europe sous pression ; l’Espagne sur le devant de la scène

Dans le panorama régional, Kaspersky identifie l’Asie-Pacifique (APAC) comme la zone avec la plus grande part de détections par l’antivirus d’emails, avec 30 %, suivie de l’Europe (21 %), L’Amérique latine (16 %), le Moyen-Orient (15 %), la Russie et la CEI (12 %) et l’Afrique (6 %). Concernant les pays, le rapport cite la Chine (14 %) comme la plus touchée par les pièces jointes malveillantes et potentiellement indésirables, devant la Russie (11 %), le Mexique (8 %), l’Espagne (8 %) et la Turquie (5 %).

Pour le marché espagnol, ce taux de 8 % dépasse la simple statistique : il confirme que le pays reste sur le radar des campagnes à grande échelle, mais aussi de celles exploitant des dynamiques locales (langue, marques, institutions et processus administratifs). Kaspersky détecte en outre des pics d’activité modérés en juin, juillet et novembre, mois souvent marqués par des périodes de forte rotation opérationnelle (campagnes, déplacements, clôtures ou processus internes), où les attaquants trouvent davantage d’opportunités pour insérer de fausses urgences.

Le spam se métamorphose : du « courrier indésirable » à une fraude utile

Une des clés du rapport réside dans la définition opérationnelle du spam : il ne se limite plus au message non sollicité, mais englobe également les arnaques, le phishing et les logiciels malveillants. Cela modifie la perspective : il ne s’agit plus uniquement de nettoyer la boîte de réception, mais d’empêcher que l’email ne devienne une porte d’entrée vers la fraude.

Et la fraude a appris à mieux dissimuler sa présence. Parmi les tendances que Kaspersky juge persistantes jusqu’en 2026 figurent plusieurs tactiques fréquemment observées :

• Passage aux messageries et appels : des emails semblant offrir une opportunité d’investissement ou avertissant d’un problème administratif, qui, après un clic, redirigent vers un chat ou déclenchent un appel. L’objectif est de sortir l’utilisateur de son environnement professionnel (où les contrôles sont plus nombreux), pour le conduire vers des canaux où la manipulation est plus douce et la vérification plus faible.
• Evasion via QR codes et « protection des liens » : des acteurs malveillants camouflent les URLs en utilisant des services de protection ou insèrent de plus en plus de codes QR dans le corps du message ou dans des fichiers PDF joints. La double astuce consiste à dissimuler la destination finale tout en incitant l’utilisateur à scanner depuis un mobile, où la sécurité est habituellement moins assurée que sur un poste de travail professionnel.
• Usage abusif de plateformes légitimes : le rapport cite des campagnes exploitant des fonctionnalités réelles de services connus — comme invitations ou création d’équipes — pour envoyer du spam en apparence authentique, augmentant ainsi le taux de clics par souci de confiance.
• Fraudes BEC plus sophistiquées : dans le cadre d’attaques de type Business Email Compromise, les malfaiteurs peaufinent la mise en scène avec des emails simulant des « reventes » ou de vieilles chaînes, mais sans en-têtes techniques permettant de valider la conversation. Cela leur permet de créer un contexte crédible pour pousser à des paiements, modifications de comptes bancaires ou urgences fournisseurs, avec moins d’alertes.

Ce qui accélère tout : l’industrialisation par l’intelligence artificielle

L’autre grande tendance du rapport est culturelle et technique : le phishing s’est professionnalisé et, selon Kaspersky, la « commonisation » de la l’Intelligence Artificielle générative amplifie le phénomène. Roman Dedenok, spécialiste anti-spam de l’entreprise, avertit qu’une partie des attaques ciblant les entreprises débute par du phishing, et que, en 2025, la sophistication a augmenté, avec des campagnes où chaque détail est soigné : adresses d’expéditeur crédibles, messages adaptés à des événements ou processus réels d’entreprise. La clé réside dans l’échelle : des messages plus crédibles, avancés et produits avec moins d’effort.

Concrètement, cela oblige à repenser les stratégies de défense. Si l’attaquant peut personnaliser le ton, la langue et le contexte presque en temps réel, les filtres classiques et la vigilance des utilisateurs perdent de leur efficacité. La défense doit désormais s’appuyer sur une combinaison de technologies, de procédures et de formation continue.

Recommandations des experts pour éviter le piège

Kaspersky recommande une série de mesures qui, bien que déjà connues, deviennent plus impératives face à ces nouvelles méthodes :

• Se méfier des invitations non sollicitées, même si elles semblent provenir de plateformes connues.
• Vérifier les URLs avant de cliquer, notamment en cas de redirections ou de liens raccourcis.
• Ne pas appeler les numéros figurant dans des emails suspects ; en cas de besoin, rechercher le contact par des canaux officiels.
• Dans les organisations, renforcer la protection des emails via des solutions multicouches et, surtout, former régulièrement le personnel aux tactiques modernes (QR codes, redirections, BEC, faux échanges de communication).
• Ne pas négliger les points faibles : mobiules et smartphones doivent aussi être protégés, car de nombreuses campagnes incitent précisément à scanner ou agir depuis un téléphone.

La conclusion fondamentale est claire : l’email n’a pas perdu son rôle ; il l’a simplement modifié. Il ne s’agit plus seulement d’un coffre à malwares, mais du point de départ d’opérations qui migrent vers les environnements où l’utilisateur est le plus facile à convaincre. Avec l’Espagne parmi les pays les plus ciblés par les pièces jointes malveillantes, la conversation s’inscrit maintenant davantage dans un contexte local qu’universel.

Questions fréquentes

Comment repérer un phishing via QR codes dans les emails ou PDFs ?
Le premier indicateur est le contexte : urgence, offres, factures inattendues ou demande de « vérification » de compte. Si un QR code apparaît pour « continuer », il faut le traiter comme un lien : vérifier l’expéditeur, confirmer la demande par un canal séparé et éviter de scanner depuis un mobile sans contrôles.

Pourquoi le fraude BEC est-il si risqué pour les entreprises et les départements financiers ?
Car il ne cherche pas à infecter, mais à convaincre. Son but est souvent un paiement, un changement de compte bancaire ou une transaction urgente. La meilleure défense combine vérification hors email (appel à un numéro connu, double validation) et détection d’anomalies dans les domaines et en-têtes.

Quelles techniques utilisent les attaquants pour dissimuler des liens malveillants ?
En plus des raccourcisseurs et redirections, ils exploitent des services de « protection de liens » pour masquer leur destination, et insèrent des codes QR dans le contenu ou dans des fichiers PDF pour contourner les filtres et favoriser l’attaque mobile.

Quels sont les dispositifs les plus efficaces en 2026 pour limiter les attaques par email en entreprise ?
Un filtrage avancé des emails, une authentification des domaines (SPF, DKIM, DMARC bien configurés), une formation continue axée sur les tactiques actuelles (QR codes, BEC), et des contrôles de vérification pour les paiements ou changements de prestataires. Il faut également renforcer la sécurité des mobiles d’entreprise.

via : kaspersky