Le phishing représentait un tiers des demandes d’assistance tous publics confondus en 2025, selon Cybermalveillance.gouv.fr. Les courriels et SMS frauduleux envoyés par vagues massives continuent de dominer le paysage des cyberattaques, mais les méthodes employées changent de calibre. L’intelligence artificielle permet désormais de produire des messages personnalisés, des voix clonées et des visages synthétiques qui brouillent les repères habituels de détection.
Deepfake vocal et phishing ciblé : la fraude au président change de dimension
La technique dite de la « fraude au président » existe depuis plus de dix ans. Un escroc se fait passer pour un dirigeant et ordonne un virement urgent à un collaborateur. Le scénario reste le même, mais l’outil a changé.
Grâce aux modèles de synthèse vocale, quelques secondes d’enregistrement suffisent à reproduire le timbre, le débit et les intonations d’une personne. Le collaborateur ciblé reçoit un appel qui ressemble trait pour trait à celui de son supérieur. La pression temporelle (« il faut transférer avant midi ») fait le reste.
Ce type d’attaque ne vise plus seulement les grands groupes. Les PME, souvent moins équipées en procédures de vérification interne, deviennent des cibles privilégiées. Un simple protocole de contre-appel sur un numéro vérifié pourrait bloquer la majorité de ces tentatives, mais il suppose que l’entreprise ait formalisé cette étape dans ses processus.
Phishing par IA générative : pourquoi les filtres anti-spam perdent du terrain
Les filtres de messagerie détectent historiquement les tentatives d’hameçonnage grâce à des signaux récurrents : fautes d’orthographe, syntaxe approximative, expéditeur inconnu, URL suspecte. L’IA générative neutralise une partie de ces indicateurs.
Les messages produits par des modèles de langage sont grammaticalement corrects, contextualisés et adaptés au vocabulaire du secteur visé. Un mail frauduleux destiné à un cabinet comptable n’emploie pas les mêmes termes qu’un mail ciblant un service hospitalier. La personnalisation automatisée rend chaque message unique, ce qui complique le travail des systèmes de détection par signature.
Selon une analyse s’appuyant sur les données ENISA publiée en juillet 2026, environ 80 % des campagnes de phishing intègrent désormais une composante IA. Ce chiffre traduit un basculement : l’IA n’est plus un outil de niche réservé aux groupes criminels les mieux organisés, elle se diffuse dans l’ensemble de l’écosystème frauduleux.
Les signaux d’alerte qui restent exploitables
Malgré cette montée en qualité, certains indices résistent.
- L’adresse d’expédition reste le premier point de contrôle : un domaine qui ressemble au domaine officiel sans y correspondre exactement (une lettre ajoutée, un tiret inhabituel) trahit souvent l’arnaque.
- Les liens intégrés dans le corps du message redirigent vers des sites dont le certificat SSL est récent ou dont le nom de domaine a été enregistré quelques jours plus tôt.
- La demande d’action immédiate (cliquer, transférer, communiquer un code) sans possibilité de vérification par un autre canal constitue un marqueur comportemental constant, quelle que soit la qualité rédactionnelle du message.
Règlement européen sur l’IA : une obligation de transparence sur les deepfakes dès août 2026
La réponse réglementaire commence à rattraper la menace. L’article 50 du règlement européen sur l’intelligence artificielle impose, à compter du 2 août 2026, de signaler explicitement tout contenu généré par IA, y compris les deepfakes audio et vidéo. Cette obligation s’applique quelle que soit la taille de l’organisation qui diffuse le contenu, avec des sanctions financières en cas de non-conformité.
L’impact sur le phishing est indirect mais réel. Les plateformes de communication, les fournisseurs de messagerie et les réseaux sociaux devront adapter leurs systèmes pour détecter et étiqueter les contenus synthétiques. En revanche, les attaquants opérant depuis des juridictions hors de l’Union européenne ne seront pas contraints par ce texte. Le règlement protège surtout contre l’usage interne détourné (un collaborateur malveillant, un prestataire négligent) plutôt que contre les réseaux criminels transnationaux.
Les retours terrain divergent sur la capacité réelle des entreprises à se mettre en conformité dans les délais. Les grands groupes disposant d’équipes juridiques dédiées s’y préparent depuis plusieurs mois. Pour les structures plus petites, l’effort reste à fournir.
Spear phishing et compromission de messagerie professionnelle : le maillon humain reste le vecteur principal
Le spear phishing cible un individu précis après une phase de renseignement. Les attaquants exploitent les informations publiques (profils LinkedIn, organigrammes accessibles, communiqués de presse) pour construire un scénario crédible. Un mail qui mentionne le bon projet, le bon interlocuteur et le bon calendrier a un taux de réussite bien supérieur à un envoi générique.
La compromission de messagerie professionnelle (BEC) pousse cette logique plus loin. L’attaquant prend le contrôle d’un compte mail légitime, puis envoie des instructions frauduleuses depuis cette adresse. Pour le destinataire, rien ne distingue ce message d’un échange habituel.
Ce que les formations classiques ne couvrent pas
La plupart des programmes de sensibilisation apprennent à repérer un mail suspect. Peu abordent le cas où le mail provient d’une adresse authentique déjà compromise. La vérification par un second canal (appel téléphonique, messagerie interne distincte) reste la parade la plus fiable, mais elle ralentit les échanges. Les organisations qui l’adoptent systématiquement pour les demandes sensibles réduisent leur exposition de manière significative.
- Toute demande de virement, de modification de coordonnées bancaires ou de transmission de données personnelles devrait déclencher une vérification par un canal séparé.
- Les accès aux boîtes mail partagées (service comptabilité, direction générale) nécessitent une authentification multifactorielle activée et auditée régulièrement.
- Les simulations de phishing internes perdent leur efficacité si elles restent identiques d’un trimestre à l’autre : varier les scénarios et intégrer des tentatives de vishing améliore la vigilance réelle.
Le phishing ne disparaîtra pas avec une seule mesure technique ou réglementaire. La combinaison entre filtres adaptatifs, procédures de vérification humaine et cadre juridique contraignant dessine une défense par couches. Chaque couche prise isolément reste insuffisante. C’est leur superposition qui complique le travail des attaquants.
