Gmail face au phishing dopé à l’IA : reconnaître les faux messages et se protéger

Le danger ne prend pas forcément la forme d’un piratage spectaculaire ou d’une faille visible dans Gmail. Il arrive bien plus souvent dans un message ordinaire, soigneusement formulé pour faire croire à une alerte de sécurité Google, à une demande urgente de validation ou à un problème de connexion. En octobre 2024, la montée du phishing assisté par l’intelligence artificielle impose donc un réflexe simple : ne jamais laisser un courriel décider seul de l’action à effectuer.

Le chiffre de 2,5 milliards d’utilisateurs associé à cette alerte donne la mesure du public potentiellement exposé aux tentatives d’escroquerie qui visent les services de messagerie les plus utilisés. Il ne signifie pas que 2,5 milliards de comptes Gmail ont été compromis, ni qu’une vulnérabilité générale de Gmail a été découverte. Le risque décrit est celui d’attaques de phishing et d’ingénierie sociale : des fraudeurs cherchent à convaincre leur cible de leur remettre elle-même un mot de passe, un code de connexion ou des données personnelles.

L’intelligence artificielle ne crée pas le phishing, une pratique ancienne. Elle peut en revanche diminuer les barrières qui limitaient auparavant la qualité et la personnalisation des messages frauduleux. Face à des textes mieux écrits, parfois adaptés à la langue et au contexte apparent du destinataire, apprendre à vérifier une alerte est devenu aussi important que disposer d’un bon mot de passe.

Pourquoi l’IA rend-elle le phishing plus convaincant ?

Le phishing consiste à se faire passer pour un service digne de confiance afin d’obtenir une information ou de pousser une victime vers une action dangereuse. Un faux message peut par exemple imiter Google, une banque, une administration, un employeur ou une plateforme de livraison. Son objectif est généralement d’amener son destinataire vers un site contrefait, de lui faire ouvrir une pièce jointe ou de lui soutirer un code de sécurité.

Les outils d’IA générative peuvent aider à produire rapidement des variantes d’un même scénario. Un message qui autrefois trahissait son origine par des formulations maladroites peut désormais être plus fluide, mieux traduit et adapté à plusieurs publics. L’IA peut aussi servir à imaginer des prétextes crédibles ou à organiser une conversation de manipulation. Cela ne veut pas dire que chaque courriel soigné est malveillant, mais l’orthographe correcte n’est plus un critère suffisant pour accorder sa confiance.

L’analyse évoquée par Lakera met notamment en avant le rôle des attaques par invite, aussi appelées attaques par prompts. Dans ce type de situation, un attaquant tente de détourner un système d’IA par les instructions qu’il lui adresse. Plus largement, l’essor des assistants génératifs illustre un changement concret : des techniques de rédaction et de persuasion deviennent plus accessibles à des personnes mal intentionnées.

Une alerte Gmail est-elle forcément envoyée par Google ?

Non. Les fraudeurs savent que les alertes de sécurité provoquent une réaction rapide, surtout lorsqu’elles évoquent une tentative de connexion, la suspension prochaine d’un compte ou l’accès à des données personnelles. Ils imitent donc les formulations et l’apparence de communications officielles pour profiter de cette inquiétude.

Google dispose de mécanismes de détection et peut notifier l’utilisateur lorsqu’une activité inhabituelle est repérée sur son compte. Ces dispositifs sont utiles, mais ils ne rendent pas authentique un message qui prétend venir de Google. La méthode la plus sûre consiste à ne pas utiliser les liens ni les boutons présents dans le courriel reçu. Il faut ouvrir manuellement son compte Google dans un navigateur ou son application habituelle, puis consulter les réglages de sécurité. Si l’alerte est réelle, les informations pertinentes doivent y apparaître.

Une vérification attentive commence par l’expéditeur, mais elle ne doit pas s’arrêter là. Une adresse peut ressembler fortement à une adresse officielle tout en comportant une lettre supplémentaire, un mot ajouté ou un nom de domaine trompeur. Le nom affiché dans la boîte de réception, comme « Sécurité Google », n’est pas une preuve : il est possible de le falsifier. Sur ordinateur, l’affichage de l’adresse complète et l’inspection de l’adresse réelle derrière un lien donnent des indices utiles.

Il faut aussi se demander ce que le message demande exactement. Une communication légitime peut signaler un événement et proposer de consulter son compte. En revanche, un message qui exige immédiatement un mot de passe, un code de sécurité, des coordonnées bancaires ou le téléchargement d’un fichier doit être considéré avec une extrême prudence.

Les signaux qui doivent alerter

Plusieurs éléments, pris isolément ou ensemble, peuvent révéler une tentative de phishing :

• une pression temporelle inhabituelle, avec une menace de fermeture immédiate du compte ;
• une adresse d’expéditeur qui n’est pas celle attendue, malgré un nom d’affichage rassurant ;
• un lien qui mène vers un domaine inconnu ou légèrement différent du domaine officiel ;
• une pièce jointe inattendue, notamment lorsqu’elle est présentée comme un document de sécurité ;
• une demande de mot de passe, de code de validation ou de données personnelles ;
• un scénario incohérent avec votre activité réelle, par exemple une connexion signalée depuis un appareil que vous n’avez jamais utilisé.

Aucun de ces indices ne remplace une vérification dans les paramètres du compte. Inversement, l’absence de faute ou la présence du bon logo ne suffit pas à prouver l’authenticité d’un courriel.

Les bons gestes pour sécuriser son compte Google

La sécurité d’un compte ne repose pas sur une mesure unique. Elle résulte d’un ensemble de protections qui rendent l’accès frauduleux plus difficile, même si un mot de passe est découvert. La première règle reste d’utiliser un mot de passe long, unique et non réemployé sur d’autres services. Si le mot de passe d’une boîte mail est identique à celui d’un site victime d’une fuite de données, les conséquences peuvent s’étendre rapidement.

Un gestionnaire de mots de passe permet de générer et de conserver des identifiants différents sans avoir à les mémoriser. Il présente un autre avantage pratique : lorsqu’il ne reconnaît pas le site visité, cela peut signaler que l’adresse n’est pas celle du vrai service.

La deuxième protection essentielle est la validation en deux étapes. Elle ajoute une vérification après le mot de passe, par exemple via une notification sur un appareil déjà associé au compte, une application d’authentification, une clé de sécurité ou un autre moyen proposé par Google. Les clés d’accès, lorsqu’elles sont disponibles, peuvent aussi limiter l’exposition au phishing en s’appuyant sur le verrouillage de l’appareil plutôt que sur la saisie d’un mot de passe sur une page web.

Enfin, il faut consulter régulièrement la rubrique consacrée à la sécurité de son compte Google. Elle permet notamment de vérifier les appareils connectés, l’activité récente et les moyens de récupération configurés. Une adresse électronique ou un numéro de récupération obsolète peut compliquer la reprise en main d’un compte au moment où elle devient nécessaire.

Que faire après avoir reçu un message suspect ?

Lorsqu’un courriel semble douteux, la meilleure réponse est souvent de ne rien faire depuis le message lui-même. Ne cliquez pas sur ses liens, ne téléchargez pas ses pièces jointes et ne répondez pas. Connectez-vous ensuite à votre compte Google depuis un accès que vous connaissez, vérifiez les alertes de sécurité et examinez les appareils ayant récemment accédé au compte.

Si vous avez seulement reçu le message sans interagir avec lui, le signalement comme phishing dans Gmail aide les systèmes de filtrage à repérer des campagnes similaires. Il est également prudent de supprimer le message après le signalement.

La situation devient plus urgente si vous avez saisi votre mot de passe sur un site atteint depuis le courriel, communiqué un code de validation ou approuvé une demande de connexion que vous n’avez pas initiée. Dans ce cas, changez immédiatement le mot de passe du compte concerné, déconnectez les appareils ou sessions inconnus et vérifiez les moyens de récupération. Si le mot de passe était réutilisé ailleurs, il doit aussi être remplacé sur les autres services concernés.

Il faut enfin surveiller les conséquences indirectes. Une boîte mail contrôlée par un fraudeur peut servir à réinitialiser les mots de passe de nombreux autres comptes. Vérifiez donc les règles de transfert automatique, les filtres inhabituels, les messages envoyés qui ne viennent pas de vous et les demandes de réinitialisation reçues récemment.

L’éducation à la cybersécurité reste la première ligne de défense

Les outils de filtrage de Google bloquent une partie importante des messages indésirables et suspects avant leur arrivée dans la boîte de réception. Mais aucune solution automatique ne peut garantir que chaque tentative sera arrêtée, ni empêcher une victime de donner volontairement ses accès à un interlocuteur qu’elle croit légitime.

C’est pourquoi la sensibilisation compte autant dans les foyers que dans les organisations. Pour les entreprises, former les équipes à reconnaître les demandes inhabituelles est particulièrement important : les campagnes de fraude peuvent se faire passer pour un responsable, un fournisseur ou le service informatique. Une demande financière urgente ou un changement de coordonnées bancaires ne doit jamais être validé sur la seule base d’un courriel.

L’IA accentue ce besoin de vigilance parce qu’elle peut rendre l’usurpation plus plausible. Elle ne supprime toutefois pas les règles fondamentales de la cybersécurité. L’attaque cherche presque toujours un raccourci humain : la peur, l’urgence, l’autorité supposée d’un expéditeur ou la promesse d’une résolution immédiate.

Ce qu’il faut surveiller

La multiplication des usages de l’IA dans la cybercriminalité pose une question plus large que celle de Gmail. Les mêmes outils qui améliorent l’assistance, la traduction ou la création de contenu peuvent être utilisés pour automatiser des messages malveillants et raffiner des techniques de manipulation. Les débats internationaux sur la sûreté de l’IA, notamment ceux associés au sommet de Bletchley Park, rappellent que l’innovation et la sécurité doivent progresser ensemble.

À l’échelle individuelle, la réponse la plus efficace reste concrète : privilégier des mots de passe uniques, activer une protection à plusieurs facteurs, contrôler périodiquement l’activité de ses comptes et ne jamais agir sous la pression d’un courriel inattendu. Les attaques évolueront avec les technologies, mais un réflexe demeure valable : une alerte importante mérite d’être vérifiée dans le compte concerné, jamais uniquement à travers le message qui l’annonce.