Interview : Comment Stega Trust certifie les e-mails pour contrer l’usurpation d'identité et la fraude au virement
L'e-mail demeure le maillon faible de la cybersécurité moderne, en tant que vecteur principal des intrusions et fraudes financières d'envergure. Face à cette menace omniprésente, la start-up Stega Trust a décidé de saisir le taureau par les cornes en certifiant l'e-mail directement à la source grâce à une solution abordable et destinée aux petites structures. Entretien avec Laura Giannechini, co-fondatrice de la société, sur les enjeux technologiques, juridiques et économiques de l’authentification de nos correspondances.
Protéger ses e-mails professionnels est devenu un véritable casse-tête pour les entreprises. Rappelons toutefois que la sécurisation des messages repose sur trois piliers complémentaires qui protègent la messagerie, la livraison et le contenu. Il y a d'abord les « gardiens invisibles » de notre réputation numérique basés sur des protocoles techniques (DKIM et DMARC) qui garantissent l’authentification de notre adresse et s'assurent que nos messages ne finissent pas dans les spams. Viennent ensuite des plateformes de services de recommandé électronique (Signaturit ou Lleida.net), qui agissent comme un facteur virtuel assermenté. Ils permettent de fournir une preuve juridique irréfutable qu’un message a bien été livré et ouvert à une date précise.
Mais reste la question cruciale : comment garantir que le contenu même de cet e-mail (une facture en pièce jointe, un contrat ou des coordonnées bancaires) n'a pas été altéré et restera intact au fil du temps ? C'est précisément sur ce maillon de la chaîne, celui de l'intégrité et de la confiance absolue dans le contenu, que se positionne Stega Trust. La jeune société française se présente ainsi comme le notaire de vos échanges numériques. Pour mieux comprendre cette approche prometteuse, nous avons eu l'opportunité de nous entretenir en avant-première avec Laura Giannechini, co-fondatrice de la start-up avec Reda Bouchalkha, bien déterminée à s'attaquer à l'un des pires fléaux de la cybersécurité.
-Cyber Security News Belgium : Vous proposez une nouvelle solution de certification des e-mails pour lutter contre la fraude au virement et l’usurpation. En quoi votre positionnement se distingue-t-il d’autres solutions existantes sur le marché ?
-Laura Giannechini : En m'intéressant à l'entrepreneuriat technologique et au problème du phishing, j’ai rapidement constaté que les utilisateurs ne savent absolument pas à qui faire confiance, car il n'existe aucun indicateur universel sur la fiabilité intrinsèque d'un e-mail reçu. Alors que les médias se focalisent sur les ransomware spectaculaires et les blocages complets d'infrastructures, on oublie souvent qu’un simple e-mail envoyé à un collaborateur peut servir de point d'entrée pour lancer une chaîne d'attaque.
Les solutions existantes se concentrent avant tout sur le flux entrant. Soit elles filtrent les e-mails aux portes du serveur, soit elles recourent à de l'intelligence artificielle pour tenter d'identifier des patterns suspects ou des anomalies sémantiques. Notre choix technologique repose sur l'exact opposé : nous certifions et signons l'e-mail au moment de son émission. Cette certification voyage avec le message jusqu'au destinataire, qui peut en vérifier l'authenticité de manière irréfutable. Nous sécurisons le sortant plutôt que d'agir sur l'entrant.
« Une nouvelle solution d’authentification à la source au service des petites entreprises et indépendants »
-CSNB : Vous insistez sur la certification cryptographique. Votre moteur repose-t-il sur de l'intelligence artificielle générative ou de nouveaux algorithmes prédictifs ?
Laura Giannechini: Absolument pas ! Nous n'employons pas d'intelligence artificielle pour cette tâche. Notre technologie repose sur un processus cryptographique : nous extrayons les métadonnées de l'e-mail, sans toucher à la confidentialité de son contenu texte ; et nous les hachons en local sur le terminal pour produire une signature numérique à sens unique impossible à inverser ou à falsifier.
Parallèlement, nous intégrons un tiers de confiance qualifié par l'Agence nationale de la sécurité des systèmes d'information, conforme au cadre réglementaire européen eIDAS (identification électronique). Ce tiers appose ainsi un horodatage qualifié sur l'e-mail. Ce double mécanisme crée une indépendance technologique totale : même si notre propre structure venait à disparaître, la validité dans le temps de la signature et de la preuve d'envoi perdurerait sans aucune ambiguïté.
-CSN : Comment garantissez-vous que l'expéditeur d'un e-mail certifié est bien la personne physique ou morale déclarée, et non un attaquant ayant volé des identifiants ?
Laura Giannechini : C'est un point central. L'accès à Stega Trust n'est pas simplement rattaché à une boîte aux lettres électronique, mais strictement « appairé » au terminal physique de l'utilisateur. Si un cybercriminel intercepte ou dérobe les mots de passe d'un collaborateur, il lui est impossible d'émettre des e-mails certifiés Stega Trust depuis une machine distante non déclarée. Cette liaison s'appuie également sur les dispositifs d'authentification biométrique locale des postes modernes, tels que la reconnaissance faciale ou les empreintes digitales. Lors de la phase d'intégration de notre solution chez les clients, nous appliquons une procédure stricte de vérification d'identité pour garantir que l'entreprise et les utilisateurs demandeurs ont une légitimité totale à émettre sous leur nom de domaine.
« Stega agit comme un véritable coffre-fort numérique en figeant le contenu et les documents pour garantir leur intégrité dans le temps. ».
-CSN : Comment s'opère concrètement la vérification par le destinataire ? Qu'affiche son interface selon l'état du message reçu ?
Laura Giannechini : Lorsque le destinataire utilise notre module complémentaire Outlook, l'analyse s'exécute automatiquement en un clic. L'interface affiche trois états possibles : l'e-mail est authentique et intact, l'e-mail a été altéré ou modifié en cours de route, ou l'e-mail ne comporte aucune signature Stega Trust valide. Cette distinction neutralise immédiatement deux grandes menaces : les modifications malveillantes de pièces jointes ou d'instructions lors du transfert, et l'usurpation d'identité pure. Si un message se revendique d'un expéditeur interne ou d'un partenaire de confiance, mais ne présente pas le sceau Stega Trust, le collaborateur peut déclencher une vérification complémentaire.
-CSN : Si le correspondant externe ne dispose pas de la solution Stega, votre protection devient-elle inopérante ?
Laura Giannechini : Non. Et c'était une condition indispensable à l'utilité de notre service. Un client final, un particulier ou un tiers non équipé de notre solution ne doit pas souscrire obligatoirement à un outil professionnel pour lire un message. Nous mettons à leur disposition un portail public de vérification en ligne gratuit : le destinataire renseigne simplement le code de vérification présent dans le message reçu et obtient en deux clics la validation formelle de l'origine et de l'intégrité des données et pièces jointes.
Notre objectif est de créer un réseau de confiance, un modèle un peu comparable au port du masque. L'expéditeur protège son écosystème en certifiant ce qu'il diffuse, ce qui incite progressivement ses partenaires réguliers à adopter le standard pour sécuriser leurs interactions.
-CSN : La « fraude au président » et les arnaques au virement bancaire explosent. En quoi Stega Trust apporte-t-elle une réponse décisive à ces problématiques frauduleuses ?
Laura Giannechini : La fraude aux coordonnées bancaires est devenue un fléau économique majeur, amplifié par l'usage d'outils d'ingénierie sociale dopés à l'IA. Dans la majorité des litiges financiers actuels, les entreprises et leurs conseils juridiques se trouvent incapables d'identifier le point de rupture : est-ce le fournisseur émetteur ou le client payeur qui a été compromis ? À quel endroit de la chaîne le document PDF a-t-il été substitué ?
Etant donné que Stega Trust scelle l'e-mail et ses pièces jointes dans un proces combiné à l'horodatage qualifié eIDAS, le système conserve l'historique complet et inaltérable de la transaction. En cas de contestation, l'entreprise conserve une empreinte cryptographique pouvant constituer un élément de preuve vérifiable en cas de litige, et peut démontrer avec certitude ce qui a été envoyé, par qui et à quelle seconde précise. Avec des possibilités de traçage.
-CSN : On observe de plus en plus souvent des vulnérabilités critiques qui se déclarent chez les sous-traitants et prestataires des organisations. Quel est votre apport sur cette chaîne de valeur ?
Laura Giannechini : Les grandes entreprises disposent d'équipes internes et de budgets conséquents pour blinder leurs infrastructures centrales. Les attaquants choisissent donc systématiquement le maillon faible : les fournisseurs plus petits, les artisans, consultants ou petites structures partenaires qui n'ont ni DSI ni solutions complexes. Les cybercriminels s'introduisent chez le sous-traitant pour usurper ses accès ou ses canaux d'échange légitimes vers le grand compte.
En rendant la certification accessible techniquement et financièrement aux petites entités, nous comblons cette faille systémique. Les donneurs d'ordres peuvent exiger de leurs prestataires une signature d'e-mail vérifiable, fermant la porte aux attaques par rebond sur les chaînes d'approvisionnement critiques.
-CSN : La sensibilisation aux risques d'hameçonnage semble répandue dans les entreprises. Pourquoi ces démarches ne suffisent-elles plus selon vous ?
Laura Giannechini: La formation reste utile, mais ses limites structurelles sont démontrées. Des travaux universitaires, notamment une thèse menée à l’ETH Zurich sur plus de 14 000 collaborateurs suivis pendant 15 mois, montrent que les bénéfices observés après les simulations de phishing semblent provenir davantage d’un regain temporaire de vigilance que d’une acquisition durable de connaissances. Cet effet peut s’estomper en quelques jours ou semaines, et l’étude conclut que l’embedded phishing training ne constitue pas, à lui seul, une solution efficace à long terme. Pour maintenir une efficacité réelle, il faudrait former les équipes tous les deux mois avec des cas pratiques renouvelés.
Par ailleurs, exiger d'un collaborateur qu'il analyse méticuleusement chaque en-tête d'e-mail pendant cinq minutes avant d'ouvrir un document est inapplicable dans le rythme professionnel quotidien. Face à des attaques hyper-réalistes générées par IA, l'œil humain finit toujours par commettre une erreur. Notre outil retire cette pression mentale en apportant une certitude cryptographique instantanée.
-CSN : Pourquoi avoir fait le choix de débuter avec votre solution exclusivement sur l'environnement Microsoft Outlook ?
Laura Giannechini: Notre priorité absolue était d'apporter une expérience clé en main, sans friction pour l'utilisateur final. L'écosystème Microsoft 365 et Outlook représente la part ultra-majoritaire des usages professionnels en entreprise et offrait les capacités d'intégration les plus avancées pour développer une extension fluide. L'utilisateur n'a pas à changer de messagerie, ni à apprendre une interface complexe : le logiciel s'intègre nativement à son ruban Outlook habituel. Le chiffrement, le calcul du hash et la vérification s'exécutent en tâche de fond de façon quasi imperceptible.
CSN : Quels sont les secteurs d'activité qui manifestent le plus vif intérêt pour votre solution ?
Laura Giannechini : Il s’agit avant tout des professions manipulant des transferts de fonds critiques et des données à haute valeur confidentielle, comme par exemple les cabinets d'avocats, les notaires, les professions juridiques ou comptables. Pour ces acteurs, l'usurpation d'identité par e-mail ou l'altération d'un document engage directement leur responsabilité civile professionnelle et la réputation de leur cabinet. Toutefois, la menace touche désormais toutes les activités : nous échangeons avec des PME de services, du commerce ou de la logistique dont la trésorerie peut être anéantie par un seul faux ordre de virement de quelques milliers d'euros.
-CSN : Comment se structure votre modèle économique et quelle est votre feuille de route pour son déploiement en Belgique ?
Laura Giannechini : Nous avons fixé un tarif attrayant par utilisateur et par mois pour les structures de 10 à 15 personnes. La solution est aujourd’hui techniquement opérationnelle et finalisée. Nous venons de franchir l'étape des premiers utilisateurs afin de peaufiner les retours d'expérience utilisateurs, et la version internationale (anglaise) est déjà intégrée dans notre architecture. Notre déploiement s'adresse à l'ensemble du marché européen grâce aux standards eIDAS, en apportant une brique de souveraineté numérique concrète face aux menaces hybrides modernes. Le lancement officiel de notre solution est prévu pour ce mois de septembre.
SAVE THE DATE - October 15, 2026 Hi Site, Grimbergen (Brussels)
