Adoption de DMARC par les entreprises japonaises
Principaux enseignements
- La plupart des entreprises japonaises n'appliquent pas le DMARC
- Le paysage réglementaire du Japon et les récents cas d'hameçonnage
- Les erreurs SPF sont fréquentes dans les domaines japonais
- DMARC permet de lutter contre le courrier électronique frauduleux et d'améliorer la délivrabilité
Bien que le Japon abrite des entreprises lucratives, axées sur la technologie, qui s'efforcent de stabiliser leurs mesures de cybersécurité, l'adoption du DMARC et l'application de la politique restent faibles.
Le phishing et l'usurpation d'adresse électronique continuant de figurer parmi les vecteurs d'attaque les plus courants ciblant toutes les organisations, la mise en place du contrôle DMARC n'est plus facultative ; elle est vitale pour la confiance dans la marque et la fiabilité des messages.
Après l'annonce orchestrée par Google et Yahoo de l'obligation de DMARC pour les expéditeurs d'envois en nombre, Yahoo Japan a annoncé une obligation similaire.
Pour assurer une utilisation sûre et sécurisée de Yahoo ! Mail, nous recommandons aux expéditeurs d'emails d'implémenter l'authentification du domaine d'envoi. Les courriels qui ne sont pas authentifiés par SPF, DKIM ou DMARC peuvent être classés comme spam ou rejetés. Nous renforcerons nos contre-mesures contre l'usurpation d'identité et le phishing en mettant en œuvre l'authentification de l'expéditeur pour les courriels envoyés depuis Yahoo ! JAPAN lors de l'utilisation de Yahoo ! Auctions et Yahoo ! Wallet. Nous prévoyons également d'encourager les banques, les sociétés de cartes de crédit et d'autres organisations à introduire la technologie d'authentification du domaine de l'expéditeur, afin de maximiser la prévention du vol d'informations personnelles par courrier électronique.
-LIGNEYahoo
Le paysage réglementaire japonais et DMARC
- Le ministère japonais de l'économie, du commerce et de l'industrie (METI) a demandé aux sociétés émettrices de cartes de crédit de mettre en œuvre le système DMARC ; cette directive est liée à 3D Secure, un programme de sécurité des cartes de crédit plus large, similaire à PCI DSS.
- Le METI demande également aux fabricants de semi-conducteurs d'ajouter DMARC à leurs conditions de transaction afin de lutter contre l'usurpation d'adresse électronique et de renforcer la sécurité de la chaîne d'approvisionnement.
- DMARC est obligatoire pour les agences gouvernementales japonaises et s'inscrit dans le cadre de normes informatiques gouvernementales unifiées plus larges.
- Les fournisseurs de boîtes aux lettres Google, Yahoo, Yahoo Japan, Apple et Microsoft exigent DMARC pour les gros expéditeurs.
- L'Agence nationale de police du Japon considère DMARC comme un moyen d'empêcher les gens de se faire piéger par des courriels frauduleux. Elle collabore avec d'autres agences pour promouvoir le DMARC avec un message d'avertissement "p=reject". p=reject avec une politique de p=reject.
Loi sur la cyberdéfense active et DMARC
La loi japonaise sur la cyberdéfense active (ACD) a été ratifiée en mai 2025 pour les réseaux gouvernementaux et d'entreprise. Dans le cadre de la surveillance du trafic, les rapports DMARC peuvent fournir une visibilité sur les écosystèmes de messagerie électronique afin de suivre l'activité légitime et suspecte des courriels et de permettre aux équipes de sécurité d'isoler les menaces. Dans le cas des rapports d'incidents sur les infrastructures critiques de l'ACD, où les opérateurs doivent signaler les cyberincidents dans les 24 heures, les rapports DMARC fournissent des informations détaillées et des preuves sur les menaces de domaine telles que l'hameçonnage et le spoofing.
Augmentation des cas d'hameçonnage au Japon
Au début de l'année 2025, les entreprises japonaises ont été la cible d'attaques de phishing de la part de cybercriminels utilisant des kits de phishing pour envoyer des campagnes de courriels malveillants ciblant des individus et des organisations dans tout le pays insulaire.
Comme c'est souvent le cas, les malfaiteurs se sont fait passer pour des marques japonaises de renom telles qu'Amazon, PayPay et Sumitomo Mitsui Card. Les courriels frauduleux utilisaient des tactiques d'ingénierie sociale pour conduire les internautes vers de fausses pages de connexion dans le but de voler les identifiants de connexion et les informations relatives aux cartes de paiement. La police japonaise a signalé un nombre record de 1,2 million de cas d'hameçonnage au cours du premier semestre 2025, ce qui a entraîné des pertes de plus de 4,22 milliards de yens dans le domaine de la fraude bancaire en ligne.
Adoption de DMARC par les 250 premières entreprises japonaises
Nous avons interrogé les 250 premières entreprises japonaises en termes de chiffre d'affaires pour évaluer leur DMARC et voici ce que nous avons découvert :
- 31% n'ont pas d'enregistrement DMARC
- 31% ont un dossier au p=none phase de surveillance et de non-application.
- 19 % ne respectent pas les bonnes pratiques, laissant des domaines exposés ou sans visibilité.
- 9% ont une politique DMARC de p=quarantine, l'avant-dernière progression de la politique précédant p=reject.
- 10% sont à p=rejectet profitent pleinement de la protection offerte par DMARC.
Ces données montrent que 81 % des principales entreprises japonaises ne sont pas protégées contre l'utilisation de courriels frauduleux. Les domaines parents de ces organisations n'ont pas d'enregistrements DMARC, contiennent des erreurs dans leurs enregistrements ou reflètent une adresse de type p=none DMARC, la phase de surveillance qui ne permet pas de faire respecter les règles pour les courriels qui échouent à l'authentification.
Dix pour cent des entreprises ont obtenu un p=reject DMARC et sont entièrement protégées ; neuf pour cent d'entre elles reflètent la politique de mise en œuvre de p=quarantine où les courriels qui échouent sont envoyés dans le dossier spam.
Après que Google et Yahoo ont institué l'exigence DMARC pour les expéditeurs en masse, les propriétaires de domaines du monde entier se sont empressés de publier un enregistrement DMARC avec un mot-clé p=none afin de répondre à l'exigence de base. Aujourd'hui encore, de nombreux domaines d'envoi en nombre restent suspendus à la politique de surveillance de p=none sans sembler comprendre les avantages de la politique p=quarantine et de p=reject des politiques d'application de DMARC.
En réfléchissant au déficit du Japon en matière de politique d'application de la loi, nous devons nous demander si ce déficit n'est pas dû à un manque d'information de la part des autorités. p=none-est suffisant est en vigueur dans les entreprises que nous avons interrogées. Avec le temps, murmure l'écosystème du courrier électronique, les grands acteurs de la messagerie continueront à rendre le courrier électronique plus sûr et à réduire le spam en introduisant l'obligation d'appliquer les politiques DMARC.
Les défis japonais de l'adoption de DMARC
Lorsque nous avons calculé les erreurs que nous avons trouvées dans notre recherche sur les domaines japonais, nous avons observé que 33 % des domaines n'ont pas d'enregistrement SPF ; 43 % souffrent d'enregistrements DMARC défectueux, ce qui laisse une grande majorité de domaines susceptibles d'échouer dans l'authentification du courrier électronique. Lorsque nous décomposons les problèmes liés aux enregistrements SPF, nous constatons que 12 % d'entre eux comportent des erreurs, 7 % dépassent la limite de consultation DNS et 5 % ont une syntaxe invalide.
- 33% manquent d'enregistrements SPF
- 43 % ont des enregistrements DMARC défectueux
- 12% ont des erreurs d'enregistrement SPF
- 7% ont des enregistrements SPF qui dépassent la limite de consultation SPF
- 5% ont des enregistrements SPF invalides
Votre enregistrement SPF présente-t-il une syntaxe valide et ne contient-il pas d'erreurs ? Les erreurs peuvent entraîner une diminution de la délivrabilité du courrier électronique et un échec de l'authentification du courrier électronique.
Pourquoi DMARC est-il essentiel ?
Lorsque des contrôles de sécurité solides tels que DMARC sont déployés contre les courriels frauduleux, la délivrabilité est améliorée, la confiance dans la marque est maintenue et la visibilité est accordée aux propriétaires de domaines. Les organisations disposant d'un enregistrement DMARC avec une politique d'application de p=quarantine ou p=rejectainsi que des exigences DMARC pour leurs fournisseurs tiers, contribuent à un programme de courrier électronique et à des opérations de la chaîne d'approvisionnement plus sûrs.
Les clients japonais sont très attentifs aux détails et sont également très prudents lorsqu'il s'agit d'adopter de nouvelles technologies. C'est particulièrement vrai pour un contrôle de sécurité tel que DMARC, où une erreur peut conduire les clients à manquer des communications importantes. Nous disposons d'un centre de données japonais, d'une assistance régionale et de partenariats locaux avec des experts prêts à aider les entreprises japonaises à adopter DMARC en toute confiance.
-Tass Kalfoglou, directeur de dmarcian APAC
Comment dmarcian peut aider
Le déploiement et la maintenance efficaces de DMARC sont essentiels pour lutter contre le phishing et le spoofing, et nous offrons les ressources et l'expertise dont vous avez besoin pour réussir du premier coup.
Nous aidons les organisations de toutes tailles :
- Déployer DMARC de la bonne manière : pas d'approximation, pas de perturbation.
- Obtenez une visibilité totale de votre écosystème de messagerie
- Garder une longueur d'avance sur l'évolution des politiques de sécurité du courrier électronique
Vous voulez continuer la conversation ? Rendez-vous sur le forum dmarcien.
