Votre fournisseur email est européen. Vos données ne quittent jamais le territoire. Et pourtant, un email peut arriver dans cette boîte parfaitement souveraine et rester une menace active pendant des heures, sans que personne ne s'en aperçoive.
La souveraineté répond à une question : où sont mes données. Elle ne répond pas à la seule qui compte une fois le message livré : que fait-on de ce qu'il déclenche.
Le moment critique : après la livraison
La plupart des dispositifs de sécurité email se concentrent sur un seul instant : le filtrage avant livraison. Passerelle email sécurisée, filtres anti-spam, authentification du domaine, tout est pensé pour bloquer une menace avant qu'elle n'atteigne la boîte de réception.
Le problème, c'est que les attaques les plus sophistiquées sont justement conçues pour passer ce filtre. Une fois le message livré, dans une boîte hébergée en Europe comme ailleurs, la plupart des outils arrêtent de regarder. Or c'est précisément là que se joue l'essentiel du risque : un employé qui clique trois jours après réception, un compte compromis qui envoie des messages internes légitimes en apparence, un transfert de fonds validé sur la base d'un email qui semblait parfaitement normal.
Un exemple concret. Un email de "relance facture" arrive dans la boîte d'un comptable, envoyé depuis le compte réel d'un fournisseur habituel, mais un compte qui a été compromis quelques jours plus tôt. Le message passe tous les filtres classiques : domaine authentique, pas de pièce jointe suspecte, ton cohérent avec les échanges précédents. Le comptable valide un changement de coordonnées bancaires. Rien dans l'infrastructure email, aussi souveraine soit-elle, n'a signalé le problème, parce que le problème n'était pas dans l'endroit où l'email était stocké, mais dans le comportement qu'il a déclenché.
Pourquoi les approches traditionnelles échouent
Les passerelles email classiques ont été conçues pour reconnaître des signatures : domaine suspect, pièce jointe malveillante, mot-clé associé au phishing. Elles font bien ce pour quoi elles ont été construites. Le problème, c'est qu'une attaque par usurpation de confiance ne coche aucune de ces cases. Compte compromis, ton légèrement différent, demande inhabituelle venant d'un contact légitime : rien de tout cela ne ressemble à une signature connue, parce qu'il n'y en a pas.
Selon les données de KnowBe4, plus de 30 % des attaques sophistiquées et polymorphes passent au travers des passerelles email sécurisées classiques, et 90 % des incidents liés aux emails sortants ne sont aujourd'hui ni détectés, ni journalisés. Deux angles morts, donc : ce qui arrive sans être filtré, et ce qui part sans être remarqué.
Le changement de paradigme : la détection comportementale
La bonne question n'est plus "ce message ressemble-t-il à une menace connue", mais "ce comportement est-il cohérent avec ce qu'on attend de cet expéditeur, de ce contact, de cette relation". C'est le principe derrière la détection comportementale : analyser le ton, la relation entre les correspondants, les habitudes d'échange, pour repérer une anomalie même quand le message semble techniquement irréprochable.
Concrètement, cela veut dire repérer un changement soudain de ton ou d'urgence dans les messages d'un contact habituel, souvent le signe d'un compte compromis. Cela veut dire aussi surveiller ce qui sort de l'organisation, pas seulement ce qui y entre : un envoi de données sensibles vers un compte personnel, un fichier confidentiel qui part vers un mauvais destinataire.
Chez KnowBe4, cette logique est portée par Defend côté entrant et Prevent côté sortant, tous deux alimentés par l'intelligence comportementale d'AIDA. Concrètement :
- Defend analyse le contenu, le contexte et la relation entre les correspondants pour détecter les menaces qui passent les filtres classiques, y compris la compromission de compte ;
- Prevent identifie les données sensibles ou les envois à risque au moment même où ils tentent de sortir de l'organisation, avant qu'ils ne partent ;
- l'ensemble s'appuie sur des années de données comportementales pour distinguer un usage normal d'un signal faible de compromission.
L'idée n'est pas de remplacer la vigilance humaine, mais de couvrir l'angle mort qu'aucun filtre statique ni aucune localisation de données ne peut combler : ce qui se passe une fois que le message est là.