{{Paysage des menaces email T1 2026 : insights Microsoft}}

Introduction

L’analyse de Microsoft sur les menaces email au T1 2026 met en évidence la rapidité avec laquelle les tactiques de phishing évoluent. Pour les administrateurs IT et sécurité, le rapport offre une vue utile sur les priorités des attaquants et sur les défenses à privilégier dans les environnements Microsoft 365 et Defender.

Quoi de neuf au T1 2026

Microsoft Threat Intelligence a détecté environ 8,3 milliards de menaces de phishing par e-mail entre janvier et mars 2026. Bien que le volume mensuel global ait légèrement diminué, plusieurs techniques d’attaque sont devenues plus sophistiquées et plus efficaces.

Principales tendances

• Le phishing par QR code a explosé, passant de 7,6 millions d’attaques en janvier à 18,7 millions en mars, soit une hausse de 146 %.
• Le phishing basé sur des liens a dominé, représentant 78 % des menaces email sur le trimestre.
• Les charges utiles malveillantes ont représenté 19 % des attaques en janvier avant de tomber à 13 % en février et en mars, ce qui suggère que les attaquants ont de plus en plus privilégié des pages de phishing hébergées plutôt qu’une diffusion basée sur des fichiers.
• La compromission de messagerie d’entreprise (BEC) est restée un problème majeur, avec 10,7 millions d’attaques observées au T1.
• Le phishing avec CAPTCHA a continué d’évoluer, les attaquants utilisant de fausses étapes de vérification pour ralentir l’analyse automatisée et renforcer la confiance des utilisateurs.

Impact de la perturbation de Tycoon2FA

Microsoft a également souligné l’effet de la perturbation, en mars 2026, de la plateforme de phishing-as-a-service Tycoon2FA. À la suite d’une action coordonnée avec Europol et des partenaires, le volume d’e-mails liés à Tycoon2FA a chuté de 15 % pendant le reste du mois de mars, et l’accès aux pages de phishing actives a été fortement réduit.

Bien que la plateforme se soit adaptée en changeant de fournisseurs d’hébergement et de schémas d’enregistrement de domaines, Microsoft indique que la reprise semble partielle plutôt qu’un retour complet à ses capacités précédentes.

Pourquoi cela importe pour les administrateurs

Ces tendances confirment que le phishing reste centré sur le vol d’identifiants, même si les méthodes de diffusion changent. Le phishing par QR code est particulièrement préoccupant, car il peut orienter les utilisateurs vers des appareils mobiles non gérés, contournant ainsi certaines protections traditionnelles axées sur les postes de travail.

Pour les administrateurs Microsoft 365 et Defender, le rapport rappelle également que les opérations de perturbation sont importantes, mais qu’elles n’éliminent pas la menace. Les attaquants sont résilients et déplacent souvent rapidement leur infrastructure après des démantèlements.

Prochaines étapes recommandées

• Passez en revue les protections contre le phishing par QR code dans les e-mails, les pièces jointes et les images intégrées.
• Renforcez les défenses contre le phishing AiTM avec une MFA résistante au phishing lorsque cela est possible.
• Surveillez les schémas BEC, en particulier l’usurpation à faible effort et les messages de prise de contact génériques.
• Utilisez les détections et les outils de hunting de Microsoft Defender pour enquêter sur le phishing basé sur des liens et les activités suspectes liées aux charges utiles.
• Sensibilisez les utilisateurs à la prudence face aux QR codes, aux écrans CAPTCHA et aux invites d’authentification inattendues.

En résumé

Les données de Microsoft pour le T1 2026 montrent que les attaquants continuent de se tourner vers un phishing d’identifiants évolutif, piloté par des liens, tout en expérimentant les QR codes, l’évasion via CAPTCHA et des méthodes plus récentes comme le device code phishing. Les équipes de sécurité devraient considérer ces conclusions comme un signal pour renforcer la détection, consolider les protections d’identité et mettre à jour les programmes de sensibilisation des utilisateurs.