Les universités françaises exposent les étudiants et collaborateurs au risque de fraude par email

Résultat : 42 meilleures universités françaises sont en retard pour l’adoption des mesures de cybersécurité de base, exposant leurs étudiants, personnel et partenaires à un risque d’attaques par courrier électronique avec usurpation d’identité, selon l’étude Proofpoint.

Un enregistrement DMARC :  Domain-based Message Authentication, Reporting & Conformance

L’analyse se fonde sur l’existence ou non par les universités, d’un enregistrement DMARC, un standard international pour lutter contre une classe d’attaque par courriel : le domain spoofing (ou usurpation de domaine). 

DMARC comporte trois niveaux de traitement des courriels :

• surveillance
• mise en quarantaine
• rejet : niveau mpêchant les messages suspects d’atteindre la boîte de réception du destinataire.

Les universités françaises

98 % des universités françaises n’auraient pas le niveau recommandé de protection DMARC, ouvrant la possibilité à la falsification et au détournement du nom de leur établissement pour piéger et escroquer utilisateurs et contacts, par des courriels frauduleux (pièce jointe infectée, lien vers un faux portail web…).

Plus en détail :

• 27 des 42 universités (64 %) ont un enregistrement DMARC

contre 62 % en 2022. Plus de 35 % des meilleurs établissements n’ont toujours aucune protection en place

• 1 des 42 universités a le niveau de protection DMARC recommandé

et le plus strict « rejet »

• 3 des établissements qui avaient un enregistrement DMARC en 2022 ont accru en 2023 leur niveau de protection

passant au stade de mise en quarantaine des courriers suspicieux

En Europe

Les scores des meilleures universités françaises sont en deçà des niveaux de protection moyenne observés.

En effet, parmi les 42 meilleures universités d’Europe :

• 4 ont le niveau de protection DMARC maximal, contre une seule en France
• 29 des meilleures universités européennes ont publié un enregistrement DMARC contre 27 en France
• 9 universités en Europe ont le niveau de protection permettant de mettre en quarantaine des courriers électroniques suspicieux, contre 7 en France.

Ce retard est d’autant plus inquiétant que la France est de plus en plus la cible de fraude par courriels. « DMARC reste la seule technologie ouverte, capable non seulement de défendre contre l’usurpation de nom de domaine, mais aussi le risque d’usurpation d’identité qui en découle. Lorsque DMARC est mis en place en mode “rejet”, un courrier électronique malveillant ne peut pas atteindre la boîte de réception du destinataire, éliminant le risque d’interférence humaine qui souvent permet l’intrusion de l’imposteur dans les systèmes de l’entreprise », conclut Xavier Daspre, directeur technique France chez Proofpoint.

Source Proofpoint – Pour évaluer le niveau d’adoption de la protection DMARC, Proofpoint a réalisé une analyse des noms de domaines principaux des 42 premières universités françaises d’après le Times Higher Education, et des 42 premières universités européennes du classement Times Higher Education – Europe. Août 2023.