Au moment précis où les marques partenaires de la Coupe du monde 2026 déploient leurs campagnes commerciales et attirent des millions de consommateurs vers leurs offres, une étude de la société de cybersécurité Proofpoint révèle qu’un tiers d’entre elles laissent encore la porte ouverte aux fraudeurs numériques.
Les millions de supporters qui suivront le Mondial 2026 depuis la France ne se contenteront pas d’allumer leur téléviseur. Ils achèteront des billets, compareront des offres promotionnelles, commanderont des produits dérivés, réserveront hôtels et transports. Cette appétence commerciale constitue l’argument premier des partenaires FIFA pour justifier leurs investissements dans le programme commercial de l’instance. Elle représente aussi, selon une analyse conduite en février par Proofpoint sur 25 domaines appartenant aux sponsors, partenaires, fournisseurs et supporters officiels de la compétition, une surface d’attaque considérable. Plus d’un tiers (36 %) de ces organisations ne disposent pas des mesures de sécurité email suffisantes pour bloquer activement les messages frauduleux qui usurpent leur identité de marque.
DMARC : un protocole dont les réglages font toute la différence
Le protocole au cœur de l’étude s’appelle DMARC (Domain-based Message Authentication, Reporting and Conformance). Conçu pour authentifier l’identité de l’expéditeur avant qu’un email n’atteigne sa destination, il comporte trois niveaux d’application : surveillance, quarantaine et rejet. Ce troisième niveau est le seul qui empêche concrètement les emails falsifiés d’atteindre les boîtes de réception. Or, sur les 25 domaines analysés, si 24 (96 %) ont bien publié un enregistrement DMARC à un niveau de base, seuls 16 d’entre eux (64 %) appliquent la politique de rejet la plus stricte. Les 8 domaines restants (32 %) se contentent d’un paramètre de surveillance ou d’une application partielle : ils voient les tentatives d’usurpation sans les bloquer. Une différence de réglage qui, à l’échelle d’un tournoi mondial, peut se mesurer en dizaines de milliers de victimes potentielles.
Ce constat n’est pas qu’une affaire de protocole technique. Les cybercriminels qui ciblent les grandes compétitions sportives ne s’attaquent pas aux réseaux des marques : ils les contournent en se faisant passer pour elles. Un email falsifié au nom de Coca-Cola proposant une promotion exclusive, un message imitant Visa pour une confirmation de billet, une offre usurpant une compagnie aérienne partenaire avec un lien de paiement frauduleux (ces scénarios constituent la réalité documentée des arnaques associées aux grands événements sportifs). « Les événements majeurs comme la Coupe du Monde de la FIFA génèrent naturellement un énorme engouement, qu’il s’agisse de projets de voyage, d’achats de billets, d’offres spéciales ou de produits dérivés. Malheureusement, cela crée également des opportunités pour les fraudeurs de profiter des supporters », résume Loïc Guézo, directeur de la stratégie cybersécurité chez Proofpoint. Et d’ajouter : « Sans protections plus robustes en place, il devient plus facile pour les criminels d’usurper l’identité de marques de confiance et de tromper les gens pour qu’ils partagent des informations personnelles ou effectuent des paiements pour de fausses offres. » Pour les annonceurs qui investissent dans le Mondial précisément pour construire ou renforcer leur capital de marque, l’ironie est cuisante : un email frauduleux à leur nom peut suffire à éroder la confiance patiemment bâtie.
La FIFA montre l’exemple
La FIFA, qui applique la politique DMARC la plus stricte sur son propre domaine, montre l’exemple là où une fraction de son écosystème commercial accuse du retard. La fenêtre de risque ne se limite pas à la durée des 104 matchs : les semaines de montée en puissance commerciale qui précèdent le coup d’envoi constituent précisément le moment où les fraudeurs déploient leurs campagnes, profitant du flot de communications légitimes des marques partenaires pour se fondre dans le bruit ambiant. Pour les annonceurs, la cohérence entre la promesse commerciale portée par le sponsoring et la robustesse technique des infrastructures email n’est plus optionnelle. Elle fait désormais partie intégrante du contrat de confiance avec le consommateur.
Un club de moins en moins fermé
Le ticket d’entrée pour devenir un sponsor de la FIFA se monnaye à haute altitude: entre 100 et 150 M$ en moyenne pour quatre ans. Au total, les revenus marketing de l’organisation sont attendus à 4,6 Md$ pour 2027-2030, en hausse de 61% par rapport au cycle 2023-2026, selon le dernier rapport annuel de l’instance. Des montants justifiés par l’exclusivité sectorielle. Adidas, fournisseur historique des ballons depuis 1970, et Coca-Cola, soda officiel de la compétition depuis 1978, font figure d’anciens. D’autres les ont rejoints, comme le groupe automobile sud-coréen Hyundai-Kia en 1999, ou encore le spécialiste américain des paiements Visa en 2007. Parce que s’en aller, c’est aussi laisser la place à un concurrent. Mastercard a été évincé au profit de Visa en 2007, au terme d’un litige qui a coûté 90 M$ à la FIFA. La compagnie Qatar Airways a elle supplanté Emirates depuis 2017, en amont du Mondial 2022 au Qatar. L’invasion de l’Ukraine en 2022 a mis au ban le géant pétrolier russe Gazprom, remplacé par la compagnie nationale QatarEnergy, elle-même délogée par son homologue saoudienne Aramco en prévision du Mondial 2034 en Arabie saoudite. Pour autant, il est possible de se faire une place autour de la table dans de nouvelles catégories comme le prouve l’arrivée récente d’ADI Predict Street, nouvel acteur des plateformes de prédiction, propriété des Émirats arabes unis.
