La pièce jointe piégée recule
le lien malveillant prend sa place.
L’édition précédente de ce rapport donnait un message sur quatre comme indésirable. La nouvelle, publiée le 12 mai 2026, monte à un sur trois. Mais l’information réellement utile n’est pas dans ce chiffre : elle est dans le recul de plusieurs indicateurs, qui signale un déplacement des méthodes plutôt qu’une accalmie.
Ce que mesure vraiment le chiffre
La catégorie utilisée par le rapport est explicite : « malveillant, spam ou non désiré ». Elle additionne des messages dangereux et de simples publicités non sollicitées.
Présenter ce total comme une proportion d’e-mails dangereux, ce que font beaucoup de reprises, revient à surestimer nettement la menace. Le rapport donne d’ailleurs le chiffre pertinent : sur l’activité réellement malveillante, le hameçonnage pèse 48 %.
Les baisses qui n’en sont pas
Deux indicateurs reculent nettement d’une édition à l’autre. La part de pièces jointes HTML malveillantes passe d’environ 23 % à un peu plus de 10 %. Celle des documents bureautiques porteurs d’un code à scanner recule également.
Lus isolément, ces chiffres suggèrent une amélioration. Lus avec le reste du rapport, ils disent l’inverse : les attaquants abandonnent les charges déposées en pièce jointe au profit de liens, moins bien filtrés, et de codes à scanner logés dans des formats de confiance.
Autrement dit, les filtres se sont améliorés là où le danger était, et le danger a déménagé.
Ce qui a changé en un an
Le seul indicateur qui progresse franchement est celui du PDF porteur d’un code à scanner. C’est aussi le plus difficile à intercepter : le filtre lit du texte, le piège est une image, et le scan se fait sur un téléphone personnel, hors du réseau de l’entreprise.
La prise de contrôle de compte
C’est la menace la plus sérieuse du rapport, et la moins médiatisée. Un tiers des entreprises signalent au moins un incident de ce type chaque mois.
Le principe est simple et redoutable. Un attaquant obtient les identifiants d’un salarié, puis envoie ses messages depuis sa boîte réelle. Le destinataire reçoit un message d’un collègue connu, dans un fil de conversation existant, avec la bonne signature et la bonne adresse.
Aucun filtre ne peut écarter ce message : il est authentique. Seule la vigilance sur le contenu, et une règle claire sur les demandes inhabituelles, protègent à ce stade.
Les kits à louer
Neuf campagnes de grande ampleur sur dix reposent désormais sur des kits de hameçonnage vendus comme un service. Ces kits fournissent les fausses pages de connexion, les mécanismes de contournement de la double authentification et l’interaction en direct avec la victime.
La conséquence est industrielle : la compétence technique n’est plus une barrière à l’entrée. Le nombre d’acteurs capables de lancer une campagne crédible augmente, indépendamment de leur niveau réel.
À cela s’ajoute l’écriture assistée. Les fautes d’orthographe et les tournures maladroites, longtemps le premier signal d’alerte enseigné aux salariés, ont largement disparu. Le conseil « repérez les fautes » n’est plus opérant.
Ce qui protège réellement
Les mesures ci-dessous sont classées par rapport entre effet obtenu et effort demandé.
- Activer la double authentification sur la messagerie et sur tous les accès distants.
- Poser une règle explicite : aucun code de validation ne se communique, ni par téléphone ni par message.
- Vérifier par un appel sur un numéro connu toute demande de virement ou de changement de coordonnées bancaires.
- Configurer l’authentification du domaine d’envoi, pour que vos messages soient reconnus et votre nom plus difficile à usurper.
- Ne pas scanner un code trouvé dans un document reçu, taper l’adresse du site à la main.
- Prévenir les équipes qu’un message venant d’un collègue peut être envoyé depuis sa boîte prise en main par un tiers.
Le quatrième point mérite une précision : l’authentification du domaine protège aussi vos clients. Un domaine correctement configuré rend l’usurpation de votre nom nettement plus difficile, sujet traité dans notre page sur la messagerie professionnelle.
Et lorsque l’incident survient malgré tout, ce qui compte est la capacité à revenir en arrière, développée dans sauvegarde et sécurité.
Ce qu’on nous demande le plus souvent.
Un e-mail sur trois est-il vraiment dangereux ?
La catégorie mesurée est « malveillant, spam ou non désiré ». Elle mélange donc des messages dangereux et des messages simplement indésirables. Sur la part réellement malveillante, le rapport précise que le hameçonnage représente 48 % de l’activité. Le chiffre d’un message sur trois décrit un volume de nuisance, pas un volume de danger.
Pourquoi les pièces jointes piégées reculent-elles ?
Parce que les attaquants ont changé de méthode. La proportion de pièces jointes HTML malveillantes est passée d’environ 23 % à un peu plus de 10 %, et celle des documents bureautiques porteurs d’un code à scanner a nettement reculé. Ce n’est pas une amélioration : la charge est simplement passée dans les liens, moins filtrés.
Qu’est-ce qu’un code à scanner piégé ?
Un carré imprimé dans un document, souvent un PDF, qui renvoie vers une fausse page de connexion. Environ 70 % des PDF malveillants analysés en contiennent un. Le procédé fonctionne parce que les filtres analysent le texte du message, pas l’image du code, et parce que le scan se fait sur un téléphone personnel, hors du réseau de l’entreprise.
Qu’est-ce que la prise de contrôle de compte ?
Un attaquant obtient les identifiants d’un salarié et envoie ses messages depuis sa vraie boîte. Le message vient d’un collègue connu, avec l’historique de conversation et la signature habituelle. Un tiers des entreprises signalent au moins un incident de ce type par mois.
Les kits de hameçonnage à louer changent-ils quelque chose ?
Ils suppriment la barrière technique. Neuf campagnes de grande ampleur sur dix reposent sur ces kits, qui fournissent les fausses pages, le contournement de la double authentification et l’interaction en direct. Il n’est plus nécessaire de savoir programmer pour lancer une campagne crédible.
Que faire concrètement dans une petite entreprise ?
Trois choses. Poser la règle qu’aucun code de validation ne se communique par téléphone. Vérifier l’authentification du domaine d’envoi, afin que vos propres messages soient reconnus et que votre nom soit plus difficile à usurper. Et prévenir les équipes qu’un message venant d’un collègue peut être envoyé depuis sa vraie boîte, prise en main par un tiers.
- Rapport annuel sur les menaces par e-mail publié le 12 mai 2026, fondé sur l’analyse de plus de 3,1 milliards de messages collectés en janvier 2026.
- Édition précédente du même rapport, pour la comparaison des indicateurs d’une année sur l’autre.
- Communications de Barracuda sur le déplacement des méthodes de diffusion, des pièces jointes vers les liens et les codes à scanner.
- Analyses sectorielles publiées entre mai et juillet 2026.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Les chiffres publiés dans cet article sont vérifiés à leur source, datés, et accompagnés de leur portée méthodologique. Pour aller plus loin : la messagerie professionnelle, la sauvegarde et la sécurité ou le dépannage de serveur.
Votre domaine est-il authentifié ?
Une configuration correcte fait reconnaître vos messages par les destinataires et rend l’usurpation de votre nom nettement plus difficile.