Phishing et IA en 2026 : détecter un message crédible

Vous recevez un message de votre dirigeant. Le ton est juste. Le projet cité existe. La signature est parfaite. Il demande seulement de consulter un document Microsoft 365 avant 17 h.

Le message peut être légitime. Il peut aussi avoir été préparé avec des informations publiques, rédigé par une IA et envoyé depuis un domaine presque identique au vôtre. La qualité du français ne permet plus de trancher. Il faut examiner la demande, le canal et la destination.

Ces chiffres ne mesurent pas la même chose : l'ENISA observe des vecteurs d'intrusion à l'échelle européenne ; Cybermalveillance.gouv.fr comptabilise des parcours d'assistance en France. Ils ne signifient donc ni que « 60 % des PME sont piratées », ni que « 80 % des emails sont écrits par une IA ».

L'ENISA rapporte aussi qu'au début de 2025, les campagnes de phishing assistées par IA auraient représenté plus de 80 % de l'activité d'ingénierie sociale observée dans le monde. Le mot « assistées » est important : l'IA peut n'intervenir que pour traduire, reformuler ou personnaliser. Ce chiffre, repris de sources tierces par l'ENISA, ne permet pas d'attribuer avec certitude chaque message à un modèle.

Consulter l'analyse ENISA 2025 et le bilan 2025 de Cybermalveillance.gouv.fr.

L'ANSSI décrit l'IA générative comme un levier de performance et de passage à l'échelle, pas comme un attaquant autonome. En février 2026, l'agence indiquait n'avoir identifié aucun système capable de mener seul toutes les étapes d'une cyberattaque. L'humain reste derrière le scénario, l'infrastructure, le choix des cibles et l'exploitation.

Lire la synthèse de l'ANSSI sur la menace liée à l'IA générative.

1. Étape 1 — Observer

   Collecter des informations publiques

   Site web, LinkedIn, communiqués, offres d'emploi et documents exposés révèlent les noms, rôles, fournisseurs, outils et périodes d'activité.

2. Étape 2 — Préparer

   Construire un prétexte crédible

   L'IA résume les informations et adapte le vocabulaire à la cible : comptabilité, RH, direction ou support informatique.

3. Étape 3 — Approcher

   Envoyer par email, SMS, QR code ou appel

   Le canal est choisi selon l'action recherchée. Un domaine ressemblant, un compte compromis ou une voix clonée renforce la confiance.

4. Étape 4 — Faire agir

   Obtenir une connexion, un fichier ou un paiement

   La victime est poussée vers une page de connexion, une pièce jointe, un changement de RIB ou une opération urgente.

5. Étape 5 — Exploiter

   Réutiliser l'accès ou l'argent

   L'attaquant vole une session, lit la messagerie, relance les contacts, déploie un logiciel malveillant ou transfère les fonds.

• Une action inhabituelle : se reconnecter, installer un outil, partager un document, acheter des cartes cadeaux, modifier un RIB ou effectuer un virement.
• Une urgence ou un secret : « avant 17 h », « je suis en réunion », « n'en parle à personne ». La pression empêche la vérification.
• Une adresse incohérente : le nom affiché est correct, mais le domaine complet diffère d'une lettre, d'un tiret ou d'une extension.
• Un canal qui change : une conversation commencée par email bascule vers WhatsApp, un SMS, un QR code ou une visioconférence inhabituelle.
• Une connexion déclenchée par un lien : la page ressemble à Microsoft 365, Google ou DocuSign, mais son domaine n'est pas celui du service.
• Un facteur MFA demandé ou poussé sans action de votre part : code à six chiffres, notification de validation ou appairage d'un appareil.
• Une procédure contournée : le message demande précisément d'éviter le rappel, la double validation ou le circuit d'achat habituel.

Objet : Contrat Atlas — accès au dossier avant 16 h Bonjour Léa, le cabinet vient de déposer la dernière version. Je pars en rendez-vous, peux-tu vérifier les chiffres et me confirmer sur mon mobile ? Le lien expire aujourd'hui : sharepoint-revue-docs.com/atlas. Merci de garder le dossier confidentiel jusqu'à l'annonce.

Le français est correct et le projet peut être réel. Pourtant, quatre éléments imposent une vérification :

1. Le domaine n'est pas sharepoint.com ni le domaine Microsoft 365 de l'entreprise.
2. L'échéance courte pousse à cliquer avant de réfléchir.
3. Le canal de retour change vers un mobile.
4. La confidentialité décourage la contre-vérification.

La bonne réponse n'est pas de répondre à l'email. Ouvrez SharePoint depuis votre favori habituel ou appelez la personne sur son numéro déjà enregistré. Si le document existe, vous le retrouverez sans le lien.

Ces services donnent des indices, pas un verdict absolu. Un lien absent des listes noires peut être malveillant s'il vient d'être créé. À l'inverse, un échec SPF ou DKIM ne prouve pas toujours une fraude : un transfert ou une liste de diffusion peut aussi modifier le message.

Avant de cliquer : vérifier la réputation d'un lien

• Google Safe Browsing — État du site : collez l'adresse du lien sans l'ouvrir pour savoir si Google l'a déjà classée comme dangereuse. Une réponse « aucune donnée disponible » ne signifie pas que le site est sûr.
• VirusTotal — Recherche d'URL ou de domaine : compare les détections de plusieurs moteurs et services de réputation. Recherchez d'abord l'URL ou son domaine. N'y téléversez jamais un contrat, une facture, un email exporté ou un fichier interne : les soumissions standard peuvent être partagées avec des partenaires et clients du service.

Comprendre d'où vient un email

• Google Admin Toolbox — Messageheader : transforme les en-têtes complets d'un email en parcours lisible. Il aide à retrouver les serveurs traversés et les résultats SPF, DKIM ou DMARC. Il ne décide pas à lui seul si le message est légitime.
• Microsoft Message Header Analyzer : alternative adaptée aux environnements Microsoft 365 et Outlook. Avant de coller un en-tête dans un service externe, vérifiez votre politique interne : il contient des adresses email, des noms de serveurs et des informations de routage.

Mesurer l'exposition de l'entreprise

• Have I Been Pwned : vérifie si une adresse professionnelle apparaît dans des violations de données connues. Un résultat positif ne prouve pas que le compte est actuellement compromis, mais justifie de contrôler le mot de passe, la MFA et les sessions. Le service propose aussi une surveillance du domaine après vérification de sa propriété.
• MxToolbox — DMARC, SPF et DKIM : permet au responsable du domaine de contrôler les enregistrements de protection de la messagerie. Pour DKIM, il faut connaître le sélecteur utilisé par Microsoft 365, Google Workspace ou votre prestataire.

Signaler ou demander de l'aide en France

• Signal Spam : signale un email ou une URL de phishing sans visiter la page. Les données techniques du message sont utiles aux acteurs qui peuvent bloquer le site ou identifier l'émetteur.
• 17Cyber : service public gratuit de diagnostic et d'assistance, disponible 24 h/24 et 7 j/7 pour les particuliers, entreprises et collectivités. Selon la situation, le parcours fournit des recommandations et peut donner accès à un échange avec un policier ou un gendarme.

Arup : 25 millions de dollars après une fausse visioconférence

En janvier 2024, un salarié de la société d'ingénierie Arup à Hong Kong reçoit un message attribué au directeur financier. Il doute d'abord. Une visioconférence le rassure : il croit voir et entendre le directeur financier et plusieurs collègues. Tous les participants, sauf lui, sont des représentations synthétiques. Le salarié effectue 15 virements vers cinq comptes, pour un total d'environ 25 millions de dollars. L'entreprise a confirmé l'usage de fausses voix et images.

La leçon n'est pas « apprenez à reconnaître un deepfake à l'œil ». Une vidéo crédible peut tromper. La défense fiable aurait été une validation indépendante du paiement et une double autorisation.

Lire le récit de CNN, avec confirmation d'Arup.

En France : un responsable raccroche et bloque la fraude

Dans un cas diffusé par la DGSI et rapporté début 2026, le responsable d'un site industriel français est contacté en visioconférence par ce qui semble être le dirigeant du groupe. Le visage et la voix sont imités. La demande porte sur un transfert de fonds lié à une acquisition confidentielle. Le responsable trouve la démarche inhabituelle, met fin à l'appel et recontacte sa direction par les canaux habituels. La tentative échoue.

Le contraste avec Arup est pédagogique : la qualité de l'image n'a pas décidé du résultat ; la procédure de vérification, oui.

Lire le cas et son analyse.

1. Priorité 1

   Une authentification résistante au phishing

   Activez des passkeys ou des clés FIDO2/WebAuthn en priorité sur la messagerie, les comptes administrateurs et les fonctions finance. Un code SMS ou à six chiffres reste mieux que le mot de passe seul, mais il peut être relayé par un faux site en temps réel.

2. Priorité 2

   Une vérification hors bande pour les actions sensibles

   Nouveau RIB, virement exceptionnel, partage de secret ou installation : rappelez sur un numéro déjà connu ou demandez une validation dans l'outil interne. N'utilisez jamais le numéro fourni dans le message suspect.

3. Priorité 3

   SPF, DKIM et DMARC sur le domaine

   DMARC en mode reject réduit l'usurpation exacte de votre propre domaine lorsqu'il est correctement aligné. Il ne bloque ni un domaine ressemblant, ni un compte partenaire compromis : c'est une couche, pas une garantie.

4. Priorité 4

   Un bouton de signalement et une réponse sans blâme

   Le collaborateur doit pouvoir signaler en un clic et prévenir immédiatement s'il a cliqué. Une alerte rapide permet de révoquer une session, bloquer un domaine et prévenir les autres destinataires.

5. Priorité 5

   Des exercices courts et réguliers

   Testez plusieurs scénarios : lien Microsoft 365, QR code, changement de RIB, SMS du dirigeant et notification MFA. Mesurez surtout le délai de signalement, pas seulement le taux de clic.

Voir les recommandations MFA de la CISA et le guide d'authentification de l'ANSSI.

• Prévenez immédiatement le référent informatique ou le prestataire, même si rien d'anormal ne s'affiche.
• Depuis un appareil sain, changez le mot de passe si vous l'avez saisi et révoquez toutes les sessions actives.
• Refusez toute notification MFA non sollicitée et vérifiez qu'aucun nouveau facteur ou appareil n'a été enregistré.
• Si un paiement ou un RIB est concerné, contactez la banque sans attendre puis déposez plainte.
• Conservez le message, les en-têtes, l'URL, les horaires et des captures ; ne continuez pas à naviguer sur le site frauduleux.
• Prévenez les autres destinataires et recherchez les règles de transfert ou de suppression ajoutées dans la messagerie.

• ANSSI — Synthèse de la menace sur l'IA générative face aux attaques informatiques, février 2026 : usages offensifs observés, limites et absence d'attaque entièrement autonome.
• ENISA — Threat Landscape 2025 : analyse de 4 875 incidents dans l'Union européenne entre juillet 2024 et juin 2025.
• Cybermalveillance.gouv.fr — Menaces visant les professionnels en 2025 : statistiques issues des parcours d'assistance, et non de toutes les entreprises françaises.
• CISA — More than a Password : hiérarchie des méthodes MFA et recommandation de FIDO/WebAuthn.
• CNN — Arup, victime d'une fraude au deepfake de 25 millions de dollars : faits confirmés par l'entreprise et la police de Hong Kong.
• La Banque Postale — IA et fraude, 2026 : cas français tiré d'une note de la DGSI et analyse des contrôles utiles.

Vous voulez évaluer les réflexes de vos équipes sans les piéger ni les culpabiliser ? Cyber Expert conçoit des simulations adaptées aux métiers et mesure le délai de signalement. Organiser un premier échange.