Microsoft a publié les résultats de sa dernière comparaison trimestrielle consacrée à la sécurité des e-mails, affirmant que Microsoft Defender avait laissé passer le moins de menaces à haut risque parmi les solutions évaluées entre mai et juillet 2026. Selon les chiffres de l’entreprise, le nombre de menaces manquées s’est élevé à 221 menaces pour 1 000 utilisateurs protégés, soit 55,4 % de moins que son concurrent le plus proche parmi les fournisseurs de passerelles de sécurité de la messagerie électronique (SEG).
La comparaison repose sur la mesure des menaces qui n’ont pas été détectées, plutôt que sur le décompte total des messages malveillants interceptés. Microsoft justifie cette méthode par le fait que le nombre de messages capturés peut être influencé par les différences de volume des menaces et de niveau d’exposition dans les environnements de chaque fournisseur. Selon l’entreprise, la normalisation de la mesure pour 1 000 utilisateurs vise à fournir une comparaison plus cohérente entre les solutions.
Que mesurent réellement les résultats ?
Le contenu ne se limite pas à l’étape de blocage du message avant son arrivée dans la boîte de réception. La comparaison de Microsoft inclut également les solutions intégrées de sécurité cloud des e-mails (ICES), qui associent filtrage avant livraison, détection et traitement après livraison. L’entreprise affirme que Defender a détecté en moyenne 92 % des messages malveillants après leur livraison pendant la période de mesure.
Les résultats relatifs aux ICES indiquent que la plus grande valeur ajoutée de la protection multicouche est apparue dans le filtrage des messages promotionnels et des messages envoyés à grande échelle. Le taux de capture des messages malveillants chez les fournisseurs ICES a également atteint 0,30 %, contre 0,13 % au trimestre précédent, tandis que le taux de capture des messages indésirables est passé à 0,52 %, contre 0,28 %.
Microsoft précise que le traitement après livraison n’est pas une action exécutée une seule fois après l’arrivée du message chez l’utilisateur. Selon la description de l’entreprise, Defender réévalue les messages présents dans les boîtes aux lettres lorsque de nouvelles informations de renseignement apparaissent, ainsi que de nouveaux indicateurs de risque ou des informations liées à une campagne d’attaque, puis traite les messages dont le danger est établi ultérieurement.
Pourquoi cette actualité est-elle importante ?
L’importance de ces chiffres réside dans le fait qu’ils déplacent l’évaluation de la sécurité des e-mails de la question « Combien de messages ont été bloqués ? » vers une question plus précise : « Combien de menaces à haut risque sont parvenues jusqu’à l’utilisateur ou sont restées indétectées ? » Toutefois, la comparaison reste liée au périmètre des solutions choisies par Microsoft et à la méthodologie de mesure présentée dans le contenu. Les chiffres seuls ne suffisent donc pas à évaluer l’expérience de chaque organisation ou de chaque type de message.
Microsoft affirme que les menaces manquées ont augmenté sur plusieurs périodes de mesure, y compris pour Defender. L’entreprise estime que cela correspond à l’utilisation de l’intelligence artificielle par les attaquants pour recueillir des informations publiques, personnaliser les messages et formuler des tentatives d’usurpation plus convaincantes. Cette observation ne signifie pas que l’intelligence artificielle explique tous les échecs, mais elle souligne la nécessité d’une défense capable de s’adapter aux nouveaux signaux plutôt que de reposer uniquement sur des règles fixes.
Comment les résultats se sont-ils répercutés sur Defender ?
Microsoft établit un lien entre les résultats de la mesure et certains investissements récents dans Defender. L’entreprise a ajouté le dossier Promotions dans Outlook après avoir constaté que les solutions ICES apportaient un avantage important dans le filtrage des messages promotionnels et des messages en masse, tout en laissant les messages marketing légitimes à la disposition de l’utilisateur au lieu de les mélanger aux messages malveillants ou indésirables.
L’entreprise a également repensé sa pile de modèles d’apprentissage automatique et d’intelligence artificielle, en intégrant des signaux issus du traitement automatique du langage naturel, notamment le sujet du message, en plus d’autres signaux de détection. Microsoft affirme qu’une mesure réalisée par ses équipes de recherche sur quatre semaines consécutives a montré une baisse d’environ deux tiers des échecs de détection des menaces et une diminution d’environ un cinquième des faux positifs chez les clients de Defender. Ces pourcentages sont présentés comme le résultat d’une observation menée par Microsoft, et le contenu ne fournit pas de détails indépendants sur l’échantillon de test ou la conception de la comparaison.
Protéger les utilisateurs et les systèmes qui lisent les e-mails
La dernière évolution dépasse le seul utilisateur humain, puisque Microsoft affirme avoir développé une protection contre l’injection de commandes pour détecter et isoler les instructions malveillantes destinées aux systèmes d’intelligence artificielle avant leur livraison. L’entreprise relie cette protection à la généralisation de Copilot, des agents et d’autres systèmes susceptibles de lire le contenu de la boîte de réception et d’agir en conséquence.
Concrètement, cela élargit le périmètre de la sécurité des e-mails : il ne s’agit plus seulement de bloquer l’hameçonnage ou les logiciels malveillants, mais aussi d’examiner les instructions susceptibles d’exploiter un système intelligent qui traite les messages. Cependant, le contenu ne fournit pas de détails techniques sur le mécanisme d’isolation ni sur les taux de détection des attaques par injection de commandes, ce qui laisse ouvertes des questions concernant l’évaluation de cette protection en dehors des tests de Microsoft.
Conclusion éditoriale
La comparaison fournit un indicateur important : la sécurité des e-mails ne se limite plus à une couche de prévention avant livraison. Les résultats présentés par Microsoft placent le traitement continu après l’arrivée du message, le filtrage multicouche et l’amélioration des modèles parmi les éléments essentiels de la protection. En revanche, les chiffres doivent être considérés comme les résultats d’un benchmark publié par l’entreprise elle-même, et non comme une attestation indépendante et exhaustive des performances de Defender dans tous les environnements. Pour les organisations, la valeur la plus claire réside dans la méthodologie : surveiller les messages après leur livraison, mesurer les menaces manquées par utilisateur et réexaminer la capacité du système à s’adapter aux campagnes d’usurpation qui évoluent rapidement.