MtoM Mag - Le journal de l'MtoM.

Les spams peuvent être des emails non sollicités, mais aussi des escroqueries, du phishing ou contenir des malwares. En 2025, plus de 144 millions de pièces jointes malveillantes, ou potentiellement indésirables, ont été reçues, soit une hausse de 15 % par rapport à l’année précédente.

Quelles zones géographiques ciblées par les campagnes d’emailing ?

En 2025, l’Asie-Pacifique a enregistré la part la plus importante de détections de virus dans les emails, atteignant 30 %, suivie de l’Europe avec 21 %, puis de l’Amérique latine (16 %), du Moyen-Orient (15 %), de la Russie et CEI (12 %) et enfin, de l’Afrique (6 %).

Si l’on rentre dans le détail, la Chine a obtenu le taux le plus élevé de pièces jointes malveillantes, ou potentiellement indésirables, représentant 14 % des détections de virus dans les e-mails. La Russie arrive en deuxième position avec 11 %, suivie du Mexique (8 %), de l’Espagne (8 %) et de la Turquie (5 %).

Les détections de virus dans les e-mails ont atteint un pic modéré en juin, juillet et novembre.

Spams et phishing : les tendances clés

L’étude met également en évidence plusieurs tendances de menaces liées aux spams et au phishing, qui devraient se poursuivre en 2026 :

 Le recours à plusieurs canaux de communication. Les pirates incitent les utilisateurs de messageries électroniques à passer à des messageries instantanées ou à appeler des numéros de téléphone frauduleux. Par exemple, des emails malveillants proposant de faux investissements peuvent rediriger les victimes vers de faux sites, où elles sont invitées à fournir leurs coordonnées pour que les cybercriminels puissent ensuite les contacter par téléphone à ce sujet.

 L’utilisation de techniques d’évasion dans le phishing et les spams. Les cyberattaquants tentent fréquemment de dissimuler des URL de phishing, par exemple à l’aide de services de sécurisation de liens ou de QR codes. Ils sont généralement intégrés dans le corps d’emails ou dans des pièces jointes au format PDF, ce qui permet non seulement de masquer tout lien de phishing. Cela peut également inciter les utilisateurs à les scanner depuis des appareils mobiles, qui sont potentiellement moins sécurisés que les ordinateurs professionnels.

 Les campagnes d’emailing exploitant des plateformes légitimes. Les experts de Kaspersky ont découvert une tactique frauduleuse exploitant les fonctionnalités collaboratives d’OpenAI afin d’envoyer, depuis des adresses légitimes, des spams. Son objectif est d’inciter les utilisateurs à cliquer sur des liens malveillants, ou à appeler des numéros frauduleux. Par ailleurs, une technique de phishing basée sur les calendriers apparus à la fin des années 2010, a refait surface l’année dernière en ciblant principalement les utilisateurs professionnels.

 L’affinement des tactiques de compromission d’e-mails professionnels (BEC). En 2025, les attaquants ont cherché à se montrer encore plus convaincants en intégrant, dans les échanges, de faux transferts d’e-mails. Ces messages ne comportent pas d’en-têtes, ce qui rend difficile la vérification de leur légitimité au sein d’une conversation électronique.

“Le phishing par e-mail ne doit pas être sous-estimé. Notre étude révèle qu’une attaque d’entreprise sur dix commence par du phishing, dont une proportion importante relève de menaces persistantes avancées (APT). En 2025, nous avons observé des attaques par email de plus en plus sophistiquées. Ces campagnes sont minutieusement construites, pensées dans les moindres détails, y compris en ce qui concerne les adresses expéditeurs et l’adaptation du contenu à des événements et processus d’entreprise réels. La démocratisation de l’IA générative a considérablement amplifié cette menace, permettant de créer, facilement et à grande échelle, des messages de phishing plus convaincants et personnalisés, en adaptant automatiquement le ton, la langue et le contexte à des cibles spécifiques.” commente Roman Dedenok, Anti-spam Expert chez Kaspersky.

Pour se protéger face à ces attaques, Kaspersky recommande à ses utilisateurs :

 D’examiner avec méfiance toute invitation non sollicitée, même si elle semble provenir d’une source fiable, peu importe la plateforme.
 D’inspecter attentivement tout lien URL avant de cliquer dessus.
 De ne jamais appeler le numéro indiqué dans un email suspect. Si vous devez contacter le service client d’une entreprise, il est préférable de le faire à partir du numéro présent sur le site officiel.
 Pour les utilisateurs professionnels, Kaspersky Security for Mail Server, avec ses mécanismes de défense multicouches optimisés par des algorithmes d’apprentissage automatique, offre une protection robuste contre un large éventail de menaces et garantit la tranquillité d’esprit des entreprises face à des cyber risques en constante évolution.
 De s’assurer que tous les appareils des employés, y compris leurs téléphones, sont équipés d’antivirus.
 De programmer régulièrement des formations sur le sujet du phishing.

https://www.kaspersky.fr