Phishing par l’IA : pourquoi les entreprises doivent changer de défense en 2026

Le phishing ne consiste plus seulement en un courriel mal écrit promettant un colis bloqué ou un remboursement inattendu. À l’approche de 2026, les attaquants disposent d’outils capables de rédiger vite, dans un français correct, avec un ton adapté à la cible et des détails empruntés à son environnement professionnel. Cette évolution ne fait pas disparaître les réflexes de prudence, mais elle rend les indices les plus évidents beaucoup moins fiables.

Le principe reste pourtant le même : pousser une personne à cliquer sur un lien, ouvrir une pièce jointe, transmettre un mot de passe, valider un paiement ou communiquer une information sensible. L’intelligence artificielle modifie surtout l’échelle et la crédibilité de cette manipulation. Pour les organisations, l’enjeu n’est donc pas de remplacer les équipes de sécurité par des algorithmes. Il est de construire plusieurs lignes de défense complémentaires, capables de repérer un message suspect avant qu’il ne cause une compromission, puis de limiter les dégâts si une personne se fait piéger.

Le phishing alimenté par l’IA devient plus crédible

L’IA générative permet de produire en quelques instants de nombreuses variantes d’un même scénario frauduleux. Là où une campagne envoyait autrefois un texte identique à des milliers de destinataires, un attaquant peut désormais modifier l’objet, la formule d’appel, le niveau de langue ou le prétexte utilisé. Cette capacité complique le travail des filtres traditionnels, qui sont particulièrement efficaces lorsqu’ils retrouvent un domaine, une pièce jointe ou une phrase déjà identifiés comme malveillants.

Une étude citée par Reuters et associée à Harvard a montré que des chatbots tels que ChatGPT et Grok pouvaient produire des messages de phishing suffisamment convaincants pour que 11 % des participants cliquent sur des liens malveillants. Ce chiffre ne signifie pas que chaque clic entraîne automatiquement une intrusion. Il rappelle toutefois un point essentiel : la qualité rédactionnelle d’un message n’est plus un critère fiable pour juger de sa légitimité.

Les attaques peuvent également exploiter des informations accessibles publiquement. Les intitulés de poste, relations professionnelles, projets annoncés ou changements d’employeur publiés sur LinkedIn donnent de la matière pour créer un message qui paraît cohérent. Un salarié peut ainsi recevoir une fausse demande semblant venir d’un fournisseur, d’un collègue ou d’un responsable, avec un sujet correspondant à ses fonctions réelles.

Le Phishing-as-a-Service abaisse la barrière à l’entrée

La montée du Phishing-as-a-Service, souvent abrégé en PhaaS, explique en partie la diffusion de ces campagnes. Le principe est simple : des opérateurs conçoivent et louent des kits prêts à l’emploi à d’autres cybercriminels. Ces offres peuvent inclure des modèles de pages de connexion, des outils de gestion de campagnes, des mécanismes de collecte d’identifiants et des tableaux de suivi.

Des plateformes présentes sur le dark web, comme Lighthouse et Lucid, ont proposé ce type de kits sur abonnement. Elles permettent à des personnes disposant de compétences techniques limitées de mettre sur pied rapidement une opération frauduleuse. Selon les données évoquées, cette dynamique a participé à la création de plus de 17 500 domaines de phishing dans 74 pays, visant de nombreuses marques internationales.

Cette industrialisation change la nature du risque. Une entreprise ne fait plus seulement face à quelques fraudeurs isolés imitant maladroitement un service connu. Elle peut être ciblée par des campagnes organisées, avec des pages de connexion crédibles, une infrastructure qui change fréquemment et des messages ajustés à différents profils de victimes.

Le PhaaS ne rend pas les cybercriminels infaillibles. Une campagne conserve des points faibles : une adresse d’expéditeur inhabituelle, une URL trompeuse, une demande pressante ou une procédure qui sort du cadre normal. Mais les kits réduisent le temps nécessaire pour corriger ces défauts ou lancer une nouvelle variante lorsqu’une précédente est bloquée.

Pourquoi les filtres classiques ne suffisent plus

Les protections historiques reposent largement sur des signatures : une liste de domaines connus, une empreinte de fichier, un expéditeur déjà signalé, une formulation déjà associée à une fraude. Ces mécanismes restent utiles. Ils permettent notamment de bloquer rapidement des menaces déjà observées. Leur faiblesse apparaît lorsque l’attaquant modifie quelques éléments avant chaque envoi.

Changer de nom de domaine, réécrire un objet de courriel, remplacer une pièce jointe ou varier une page de connexion peut suffire à contourner une règle trop rigide. Or l’IA facilite précisément cette production de variantes. Elle aide les attaquants à éviter les répétitions flagrantes, à employer le vocabulaire d’un secteur d’activité et à adapter le ton à un destinataire.

Les attaques audio et vidéo ajoutent une difficulté supplémentaire. Des fraudeurs peuvent imiter la voix ou l’image d’un dirigeant, d’un collègue ou d’un proche au cours d’un appel sur des services de communication comme Zoom ou WhatsApp. Les données citées font état d’une progression de 1 000 % des tentatives impliquant des deepfakes sur la dernière décennie. Dans ce contexte, une demande de virement, de partage d’accès ou de transmission de documents sensibles ne devrait jamais être validée sur la seule base d’une voix familière ou d’un visage à l’écran.

La bonne réponse n’est pas d’abandonner les mécanismes traditionnels, mais de les intégrer à une stratégie plus large. Un domaine déjà identifié doit continuer d’être bloqué. En revanche, un système de défense doit aussi être capable de reconnaître qu’un message inconnu présente plusieurs signes inhabituels lorsqu’ils sont considérés ensemble.

Comment l’IA peut détecter un courriel frauduleux

Du côté des défenseurs, les modèles de traitement du langage naturel, ou NLP, peuvent analyser la structure et le ton d’un message. L’objectif n’est pas seulement de repérer un mot interdit. Un système peut évaluer la cohérence d’une demande, le caractère anormal d’une formulation, une pression inhabituelle ou un décalage entre le style attendu d’un interlocuteur et celui du courriel reçu.

Cette analyse doit être reliée à d’autres signaux techniques. L’adresse de l’expéditeur, le domaine de destination d’un lien, le moment de l’envoi, la réputation d’une infrastructure ou la présence d’une pièce jointe inhabituelle apportent chacun un élément. Isolément, ils ne prouvent pas toujours une fraude. Croisés, ils permettent de faire remonter les messages les plus risqués pour les bloquer, les mettre en quarantaine ou demander une vérification supplémentaire.

Une détection fondée sur l’IA n’est toutefois pas une garantie absolue. Elle peut commettre des erreurs et bloquer à tort un message légitime. C’est pourquoi le paramétrage, le suivi des alertes et l’intervention humaine restent indispensables. Dans une entreprise, un filtrage trop agressif peut ralentir les échanges normaux. Un filtrage trop permissif peut laisser passer une fraude. Le bon niveau de protection dépend donc aussi des métiers, des flux de communication et de la sensibilité des données traitées.

La formation des salariés reste une barrière essentielle

Même le meilleur outil ne peut pas tout intercepter. Un employé peut être confronté à un faux appel, à un message personnel reçu sur son téléphone ou à une demande qui exploite une situation d’urgence. La sensibilisation reste donc une composante centrale de la défense contre le phishing assisté par l’IA.

Les formations les plus utiles ne se limitent pas à rappeler de ne jamais cliquer sur un lien suspect. Elles mettent les collaborateurs face à des simulations réalistes, inspirées des techniques qui pourraient viser leur activité. Une personne chargée des paiements ne rencontre pas les mêmes scénarios qu’un membre des ressources humaines ou qu’un administrateur informatique.

Les exercices doivent apprendre des réflexes simples et applicables : vérifier une demande sensible par un second canal, ne pas se précipiter sous l’effet de l’urgence, examiner l’adresse complète d’un expéditeur et signaler rapidement un message douteux. Pour une instruction de paiement inhabituelle, rappeler un interlocuteur via un numéro déjà connu de l’organisation est plus sûr que répondre au message ou utiliser les coordonnées qu’il contient.

L’analyse comportementale limite les dégâts après un clic

Le phishing est souvent une porte d’entrée, pas une fin en soi. Après le vol d’un identifiant, un attaquant peut tenter de consulter des données, se déplacer dans les systèmes ou envoyer de nouveaux messages depuis un compte compromis. C’est ici qu’intervient l’analyse comportementale des utilisateurs et des entités, connue sous le sigle UEBA.

Ces outils cherchent des comportements qui sortent de l’ordinaire. Il peut s’agir d’une connexion depuis un lieu inattendu, d’un accès à des ressources jamais consultées auparavant ou d’une activité inhabituelle sur un compte. Le système peut alors déclencher une alerte et aider les équipes à enquêter avant qu’une compromission ne s’étende.

L’UEBA ne doit pas être comprise comme une surveillance automatique qui désigne immédiatement un coupable. Elle sert à mettre en évidence des anomalies qui nécessitent une vérification. Un déplacement professionnel, un changement de mission ou une nouvelle application peuvent expliquer un comportement inhabituel. La valeur de l’outil vient de sa capacité à prioriser les cas à examiner et à raccourcir le délai de réaction.

Ce qu’il faut surveiller à l’approche de 2026

La principale évolution à surveiller est l’accélération du cycle entre une campagne détectée et l’apparition de sa variante suivante. À mesure que les cybercriminels automatisent la rédaction, la personnalisation et le renouvellement de leurs infrastructures, les organisations doivent réduire le temps nécessaire pour identifier, signaler et contenir une tentative.

Une défense solide repose sur plusieurs niveaux : filtrage des messages, analyse linguistique et technique, partage d’informations sur les nouvelles menaces, formation adaptée aux métiers et surveillance des comportements après authentification. Aucun de ces éléments ne suffit seul. Ensemble, ils rendent l’attaque plus difficile à mener et limitent ses conséquences lorsqu’un message malveillant réussit à franchir une première barrière.

Enfin, les entreprises gagneront à formaliser des procédures simples pour les demandes sensibles, en particulier celles qui concernent des paiements, des accès ou des documents confidentiels. Plus une vérification est claire et facile à appliquer, moins l’urgence fabriquée par un fraudeur a de chances de fonctionner. Face au phishing alimenté par l’IA, la résilience ne dépend pas seulement de la technologie : elle dépend aussi de décisions humaines prises avec méthode.