VBSpam T3 2026 : pourquoi le phishing ne s’arrête plus à la messagerie

Un e-mail de phishing n’a plus besoin de pièce jointe malveillante ni d’expéditeur manifestement suspect pour être dangereux. Le test comparatif VBSpam du T3 2026 de Virus Bulletin a mis en évidence des campagnes s’appuyant sur une infrastructure d’envoi apparemment crédible et des messages HTML anodins, avant de transférer l’étape frauduleuse décisive vers des redirections et du code exécuté dans le navigateur. Les produits d’entreprise les mieux classés ont conservé d’excellents résultats, mais le test rappelle qu’une passerelle e-mail ne peut pas être l’unique rempart contre le phishing. 2021

L’e-mail n’est plus que la première étape

Le test public, mené sur 16 jours, a évalué 11 produits de sécurité e-mail publiquement testés face à 103 969 messages, dont 103 380 spams. Selon les comptes rendus, les principales passerelles d’entreprise ont affiché des taux de détection du phishing proches de 100 %. Net at Work NoSpamProxy aurait obtenu le meilleur score final, à 99,995, avec 100 % de détection des malwares, 99,990 % de détection du phishing et aucun faux positif. 2021

Ce constat ne signifie pas que le filtrage d’entreprise ne fonctionne plus. Il montre plutôt que les attaquants adaptent leur mode de diffusion. Au lieu d’insérer l’élément le plus clairement malveillant dans le message, ils peuvent envoyer un e-mail sans pièce jointe depuis un canal qui paraît légitime, puis utiliser une URL dont le comportement ne change qu’après le clic du destinataire.

VBSpam est un programme comparatif destiné aux produits de sécurité e-mail utilisés par les entreprises. Il mesure la protection contre les spams, le phishing et les malwares, tout en tenant compte des faux positifs. Les essais reposent sur des flux de menaces actuelles et réelles, et non sur une archive figée d’anciens échantillons. 61213

Trois campagnes révélatrices

Une fausse relance de paiement en allemand, acheminée via Amazon SES

Une campagne en allemand se présentant comme un « Mahnschreiben » — une relance pour impayé — aurait utilisé Amazon SES et le domaine moolaah[.]com, aligné DKIM. Le message ne comportait aucune pièce jointe. Son lien menait d’abord à une page conçue pour paraître moins suspecte lors d’une analyse automatisée : balisage leurre, texte caché, iframe de taille nulle et JavaScript obfusqué.

La page aurait collecté des signaux sur le navigateur et le fuseau horaire avant d’utiliser une requête POST cachée pour rediriger le visiteur vers opensea[.]io. L’évaluation rapportée évoque un parcours dissimulé de fraude aux cryptomonnaies ou aux NFT, et non une diffusion de malware confirmée. La nuance compte : la logique frauduleuse peut être volontairement retenue tant que le visiteur ne semble pas être une cible réelle et correctement profilée. 20

Une arnaque néerlandaise au renouvellement d’antivirus, aux destinations variables

Un e-mail en néerlandais usurpant les marques McAfee et TotalAV présentait une offre de renouvellement en HTML seul. Il affirmait que le destinataire avait « 631 virus dangereux », menaçait de fermer le compte et proposait 90 % de réduction.

Plutôt que de dépendre d’une seule page de phishing fixe, la campagne séparait les parcours de suivi, de désinscription et d’appel à l’action au moyen d’une infrastructure de redirection. Ces itinéraires peuvent changer de destination, expirer ou présenter un contenu différent selon l’heure ou la localisation. Une vérification d’URL unique au niveau de la passerelle devient alors moins fiable qu’une analyse effectuée au moment du clic. L’objectif évalué était une fraude au renouvellement ou à l’affiliation, avec un risque de vol de données de paiement, plutôt qu’un téléchargement de malware confirmé. 20

Un prétexte de consentement PSD2 usurpant BCR en Roumanie

Une autre campagne usurpait BCR S.A. et invoquait un consentement PSD2 pour créer un sentiment d’urgence. Elle aurait encodé sa destination sous la forme d’une adresse mappée IPv6, une technique d’obfuscation susceptible de déjouer une analyse simpliste des URL ou des contrôles de réputation. La campagne a été évaluée comme une probable tentative de vol d’identifiants, sans que les éléments fournis n’établissent une page finale confirmée ni une attribution plus précise. 20

Ce que les résultats disent — et ne disent pas

Les données du T3 font apparaître un écart important entre les meilleures passerelles d’entreprise et le déploiement open source Rspamd testé publiquement. Un compte rendu attribue à Rspamd un taux de détection du phishing de 62,550 %, très inférieur aux résultats des principaux produits d’entreprise. 21

Ce chiffre ne doit pas être généralisé à toutes les installations de Rspamd, ni aux outils open source dans leur ensemble : la configuration, les flux de renseignement sur les menaces, le réglage des règles et les contrôles complémentaires influencent les performances réelles. Il souligne toutefois un point concret : des infrastructures de redirection qui évoluent rapidement et des parcours de phishing adaptés au navigateur peuvent être difficiles à classifier pour une couche e-mail par défaut ou configurée de manière limitée.

À titre de comparaison, l’examen VBSpam distinct du T2 2026 avait indiqué un taux de détection du phishing de 54,810 % pour Rspamd lors de ce test, également présenté comme inférieur à celui des produits de tête. Il s’agit de périodes distinctes : ces pourcentages ne doivent donc pas être considérés comme un seul et même indicateur interchangeable. 5

Les priorités de défense au-delà de la passerelle

La leçon opérationnelle essentielle est d’étendre l’analyse du moment de la livraison au moment du clic.

• Considérer l’authentification comme un signal d’identité, pas comme un verdict de sûreté. L’alignement SPF ou DKIM et l’usage d’un service d’envoi réputé renseignent sur la manière dont le message a été expédié ; ils ne prouvent pas que l’offre commerciale ou la destination est légitime.
• Suivre les chaînes de redirection de bout en bout. Il faut inspecter chaque saut, puis réévaluer les URL lors du clic, car les destinations et leur réputation peuvent évoluer après la livraison.
• Utiliser une analyse dynamique capable d’exécuter un navigateur. Une inspection efficace doit pouvoir exécuter le JavaScript et détecter les formulaires cachés, l’activité d’iframe, l’empreinte du navigateur et les redirections conditionnelles, plutôt que de se limiter au corps de l’e-mail ou à l’URL visible.
• Normaliser les formes d’URL inhabituelles. Les contrôles de sécurité doivent interpréter de façon sûre les adresses encodées et les représentations mappées IPv6 avant l’application des règles de réputation et de blocage.
• Surveiller les changements d’infrastructure. Les changements DNS, les nouveaux domaines, les redirections HTTP et la réputation des destinations doivent être suivis dans le temps.
• Limiter les conséquences d’un clic réussi. Une authentification résistante au phishing et des protections de poste peuvent réduire le risque de prise de contrôle d’un compte, même si une page de collecte d’identifiants atteint le destinataire.

Les utilisateurs restent un dernier niveau de protection important. Les demandes de paiement, les sollicitations de consentement bancaire et les alertes de renouvellement d’abonnement doivent être vérifiées depuis le site, l’application ou le canal de support habituel de l’organisation — jamais via le lien présent dans le message.

À retenir

VBSpam T3 2026 ne montre pas un échec généralisé de la sécurité e-mail conventionnelle : les meilleurs produits d’entreprise ont continué d’afficher des résultats exceptionnellement élevés. 2021 Le constat est plus précis : les opérateurs de phishing déplacent leurs mécanismes les plus trompeurs vers des étapes personnalisées, médiées par le navigateur, qu’une passerelle classique ne voit pas toujours entièrement au moment de la livraison.

La réponse durable repose sur une défense en profondeur : un filtrage e-mail robuste, complété par l’analyse des redirections, l’inspection dynamique dans le navigateur et des protections de compte qui rendent un mot de passe volé beaucoup moins exploitable.