Un e-mail de signature électronique qui semble parfaitement normal, une facture en pièce jointe qui ressemble à une simple image, un QR code « pour consulter votre document »… Les arnaques par e-mail ont changé de visage. Elles ne sont plus truffées de fautes et ne viennent plus forcément d'adresses farfelues. Pour une TPE, une association ou un indépendant, la boîte mail reste pourtant la porte d'entrée numéro un des pirates.
Début novembre, Microsoft a publié son bilan des menaces par e-mail pour le troisième trimestre 2026. Les chiffres donnent le vertige : environ 7,3 milliards de messages malveillants détectés entre juillet et septembre, avec une forte accélération à la rentrée. Plutôt que de vous noyer sous les statistiques, voici ce que ce rapport change concrètement pour vous, et sept réflexes simples à mettre en place dès cette semaine.
Ce qui a changé dans les arnaques par e-mail
Trois tendances ressortent nettement du rapport, et elles concernent directement les petites structures.
Les faux services de signature et de facturation
Les pirates imitent de plus en plus les outils que vous utilisez au quotidien : signature de contrats, envoi de factures, sondages en ligne. Sur le trimestre, Microsoft a compté environ 129 millions de messages de ce type, les faux DocuSign arrivant en tête en septembre. Le piège ? Beaucoup de ces e-mails passaient les filtres parce que leurs destinataires avaient créé des exceptions du genre « toujours accepter les messages de ce service ». Une règle pratique au départ, qui devient une porte ouverte.
Les fichiers SVG déguisés en images
Un fichier .svg ressemble à une image, mais il peut contenir du code et afficher une fausse page de connexion dès qu'on l'ouvre dans le navigateur. En août, ces pièces jointes ont atteint un record depuis plus d'un an. Autre enseignement : la quasi-totalité des pièces jointes piégées ne cherche pas à installer un virus, elle vise vos identifiants.
Les QR codes et les faux codes de connexion
Le phishing par QR code recule globalement, mais il se glisse désormais davantage dans le corps même des e-mails. Plus inquiétant, une technique gagne du terrain : on vous demande de saisir un code sur une vraie page de connexion. Vous vous identifiez normalement, double authentification comprise, et vous donnez sans le savoir l'accès à votre compte au pirate.
À retenir : un e-mail qui passe les contrôles techniques n'est pas forcément honnête. Une campagne repérée en septembre utilisait un domaine parfaitement configuré pour distribuer un logiciel espion. Authentifié ne veut pas dire légitime.
7 réflexes pour protéger la boîte mail de votre structure
1. Faites le ménage dans vos exceptions et vos listes blanches
Ouvrez les réglages de votre filtre antispam et regardez les adresses ou domaines que vous avez marqués comme « toujours autorisés ». Supprimez tout ce qui n'est plus utile et évitez d'autoriser un domaine entier juste parce qu'un vrai message a été classé en spam un jour. Mieux vaut repêcher un e-mail de temps en temps que de laisser passer une imitation.
2. Bloquez les pièces jointes dont vous n'avez pas besoin
Si personne dans votre équipe n'échange de fichiers SVG, d'archives RAR ou de fichiers HTML par e-mail, demandez à ce qu'ils soient filtrés. Vos clients vous envoient des PDF et des photos ? Le reste peut être mis de côté sans gêner votre activité.
3. Ne scannez jamais un QR code reçu par e-mail pour vous connecter
Un service sérieux vous laisse toujours la possibilité de passer par son site ou son application, sans QR code. Si un message vous demande de scanner un code pour « valider votre compte » ou « consulter un document », c'est un signal d'alerte. Allez directement sur le site du service en tapant son adresse vous-même.
4. Méfiez-vous des codes à saisir que vous n'avez pas demandés
Si on vous invite à entrer un code sur une page de connexion alors que vous n'êtes pas en train d'installer un appareil ou une application, arrêtez tout. Même si la page est authentique, vous êtes peut-être en train d'ouvrir votre compte à quelqu'un d'autre.
5. Vérifiez par téléphone toute demande d'argent ou changement de RIB
C'est la règle d'or, rappelée par Cybermalveillance.gouv.fr : un changement de coordonnées bancaires ne se valide jamais sur la seule base d'un e-mail. Rappelez votre fournisseur ou votre partenaire au numéro que vous connaissez déjà, celui de votre contrat, jamais celui indiqué dans le message. Ce simple contre-appel déjoue la grande majorité des fraudes au faux fournisseur.
6. Activez la double authentification, sans vous croire intouchable
La double authentification reste indispensable : elle bloque la plupart des tentatives basées sur un mot de passe volé. Mais comme on l'a vu, certaines techniques la contournent. Elle protège, à condition de rester attentif à ce qu'on vous demande de valider.
7. Gardez une adresse à votre nom de domaine, bien configurée
Une adresse du type contact@votre-entreprise.fr inspire davantage confiance qu'une boîte gratuite, et surtout elle vous permet de protéger votre nom. Avec les enregistrements SPF, DKIM et DMARC correctement réglés, il devient bien plus difficile pour un escroc d'envoyer des messages en se faisant passer pour vous auprès de vos clients. Si ces trois sigles vous parlent peu, notre guide pour configurer DKIM, SPF et DMARC vous explique tout sans jargon.
Et si vous avez déjà cliqué ?
Pas de panique, mais agissez vite. L'ordre compte :
| Quand | Que faire |
|---|---|
| Tout de suite | Changez le mot de passe de la boîte concernée depuis un autre appareil, et celui de tout compte qui utilisait le même. |
| Dans l'heure | Déconnectez toutes les sessions ouvertes, vérifiez les règles de transfert automatique (les pirates en créent souvent pour lire vos e-mails en douce) et prévenez votre banque si un paiement est en jeu. |
| Dans la journée | Prévenez vos contacts qu'ils pourraient recevoir de faux messages en votre nom, et signalez l'incident sur Cybermalveillance.gouv.fr pour être accompagné. |
Pour une association ou une petite équipe, le plus efficace reste souvent d'en parler. Un rappel de cinq minutes en réunion sur ces quelques réflexes vaut mieux que n'importe quel outil laissé sans réglage.
La sécurité de vos e-mails, c'est aussi une question d'hébergement
Une bonne partie de la protection se joue en amont, sur le serveur qui reçoit vos messages : la qualité du filtrage, la possibilité de bloquer certains types de fichiers, des enregistrements DNS propres et quelqu'un à qui poser la question quand un message vous semble louche. C'est précisément ce que nous proposons avec nos boîtes e-mail professionnelles, hébergées sur nos propres serveurs dans des datacenters français et administrées en interne par notre équipe à Poitiers.
Une adresse pro, des réglages faits correctement
E-mail à votre nom de domaine, filtrage antispam, SPF et DKIM en place et une équipe joignable qui connaît votre configuration. La migration de vos anciens e-mails est offerte.
Découvrir nos offres e-mail pro