Microsoft a détecté environ 7,3 milliards d’e-mails malveillants entre juillet et septembre 2026, selon son rapport trimestriel publié le 5 novembre. Le chiffre frappe, mais l’enseignement le plus utile pour les entreprises est ailleurs : parmi les messages qui usurpaient des services professionnels, une majorité de ceux dont le traitement est connu bénéficiaient en septembre d’une exception configurée par le client lui-même. Autrement dit, la faiblesse se trouve souvent dans les réglages.
Un volume en forte hausse en septembre
D’après le rapport de Microsoft Threat Intelligence, près de 3 milliards de ces messages ont été repérés au seul mois de septembre, soit 41 % de plus qu’en août. Les tendances sont contrastées. L’hameçonnage par QR code recule nettement, à environ 12,1 millions d’attaques sur le trimestre (-67 % par rapport au précédent). La plateforme Tycoon2FA, démantelée en mars, ne pèse presque plus rien : environ 21 000 messages en juillet contre 8,9 millions en février.
D’autres techniques montent. Les pièces jointes au format SVG ont atteint 10,1 millions en août, un record depuis plus d’un an, et les pages d’hameçonnage protégées par un CAPTCHA ont presque doublé entre juillet et septembre.
Le problème des exceptions
Environ 129 millions de messages imitaient des services professionnels légitimes, comme les plateformes de signature électronique ou de facturation. Selon IT-Connect, DocuSign représentait à lui seul 29 % de ce total en septembre. Ce même mois, une exception de sécurité s’appliquait à 63 % des messages de cette catégorie dont le résultat était enregistré, le plus souvent au niveau de l’organisation entière.
Le mécanisme est connu des administrateurs : pour éviter qu’un flux légitime (des factures, des signatures) ne finisse en indésirables, on crée une règle qui laisse passer tout ce qui vient d’un domaine. Les escrocs n’ont plus qu’à imiter ce flux. Microsoft prend soin de préciser que ces chiffres ne prouvent ni l’ouverture des messages ni la compromission de comptes. Le rapport résume l’idée en une formule : une marque familière ne remplace pas un expéditeur authentifié.
Teams et les codes d’appareil, nouveaux terrains
Les attaques ne se limitent plus à la boîte de réception. Microsoft a compté environ 141 000 tentatives d’appels malveillants sur Teams au trimestre. Les fraudeurs y abandonnent les intitulés génériques comme « Help Desk » au profit de prénoms et de noms : ces derniers sont passés de 46 % des appels en juillet à 88 % en septembre.
Le rapport décrit aussi une campagne lancée le 19 août contre plus de 10 000 utilisateurs dans plus de 4 800 organisations, visant le secteur juridique, presque exclusivement aux États-Unis ; les services professionnels représentaient 72,1 % des cibles. Elle reposait sur l’hameçonnage par code d’appareil : la victime saisit un code sur une vraie page de Microsoft et s’authentifie normalement, MFA compris, tandis que l’attaquant récupère un jeton de session valide. Ce type d’attaque contourne donc le second facteur sans le casser.
Les réglages à revoir
Pour une PME sous Microsoft 365, plusieurs gestes découlent du rapport et de sa lecture par IT-Connect :
- passer en revue les règles de flux qui ignorent le filtrage sur la seule base du domaine expéditeur ;
- bloquer les pièces jointes SVG si personne n’en échange par courriel ;
- désactiver l’authentification par code d’appareil lorsqu’elle n’est pas utile, via l’accès conditionnel ;
- traiter avec méfiance les appels Teams externes, y compris quand ils affichent un simple nom de personne plutôt qu’un intitulé « Help Desk ».
Une limite à garder en tête : ces statistiques proviennent des seuls clients de Microsoft et de ses propres outils de détection. Elles décrivent bien les tendances, moins le risque exact couru par une entreprise donnée.
Questions fréquentes
Un e-mail qui passe SPF, DKIM et DMARC est-il fiable ?
Pas forcément. Microsoft cite une campagne du 21 septembre dont l’expéditeur passait ces trois contrôles tout en diffusant le logiciel espion Agent Tesla.
Pourquoi les fichiers SVG sont-ils dangereux ?
Un SVG est un fichier texte qui peut contenir du JavaScript. Ouvert dans le navigateur, il peut afficher une fausse page de connexion sans aucun exécutable.
Qu’est-ce que l’hameçonnage par code d’appareil ?
La victime est invitée à saisir un code sur une page Microsoft authentique. Elle se connecte normalement, mais c’est l’appareil de l’attaquant qui obtient l’accès.
Sources
- Email threat landscape: Q3 2026 trends and insights — Microsoft Security Blog, 2026-11-05
- Phishing : 7,3 milliards de menaces par e-mail au troisième trimestre 2026, voici ce que révèle Microsoft — IT-Connect, 2026-11-09