Phishing assisté par IA : quand les pirates deviennent de meilleurs rédacteurs que vous

Le phishing a pris des cours de rédaction

Pendant des années, repérer un mail de phishing relevait presque du jeu d'enfant : fautes d'orthographe, logo pixelisé, adresse d'expéditeur bizarre, et cette fameuse phrase "Cher client, votre compte a été suspendu, cliquez ici immédiatement". Bref, on riait un peu (jaune) devant ces tentatives approximatives.

Sauf qu'aujourd'hui, les cybercriminels ont accès aux mêmes outils d'IA générative que nous. ChatGPT, Claude, Gemini et leurs cousins open-source permettent de rédiger en quelques secondes un email parfaitement écrit, au ton professionnel, sans la moindre faute, et parfaitement calibré pour votre secteur d'activité. Résultat : le phishing n'est plus artisanal, il devient industriel et qualitatif en même temps.

Comment l'IA a changé la donne pour les attaquants

1. Des textes impeccables, en toutes les langues

Un attaquant russe ou nigérian qui écrivait auparavant un français approximatif peut désormais produire un courrier irréprochable, avec le bon vocabulaire métier, le bon registre de langue, et même les formules de politesse propres à la culture française. L'IA gomme littéralement l'un des meilleurs indices de détection que l'on apprenait aux utilisateurs depuis quinze ans.

2. Le phishing ciblé (spear phishing) à grande échelle

Avant, personnaliser une attaque pour chaque victime demandait du temps : repérer la cible sur LinkedIn, comprendre son poste, trouver des infos sur l'entreprise. Aujourd'hui, un script peut scraper automatiquement des données publiques (réseaux sociaux, sites d'entreprise, communiqués de presse) et générer, via une IA, des centaines de mails ultra-personnalisés en quelques minutes.

// Exemple simplifié du type de pipeline utilisé par les attaquants
const cible = await scraperLinkedIn("nom.prenom");
const contexte = {
  entreprise: cible.entreprise,
  poste: cible.poste,
  collegues: cible.relations
};

const promptMalveillant = `Rédige un email professionnel et urgent,
  signé par le DAF de ${contexte.entreprise},
  demandant un virement bancaire à ${cible.prenom}.`;

const emailGenere = await appelerIA(promptMalveillant);
envoyerPhishing(cible.email, emailGenere);

Ce code est volontairement simplifié, mais il illustre bien la logique : automatiser la collecte d'infos, puis laisser l'IA rédiger un contenu crédible et contextualisé.

3. Le deepfake vocal et vidéo en renfort

Le phishing ne se limite plus à l'email. Avec quelques secondes d'enregistrement audio trouvées sur une vidéo YouTube ou un podcast, il est désormais possible de cloner la voix d'un dirigeant pour passer un coup de fil crédible et demander un virement en urgence. On appelle ça le vishing (voice phishing), et les cas se multiplient dans les entreprises françaises, PME comme grands groupes.

Des exemples concrets qui font froid dans le dos

En 2024, plusieurs entreprises ont signalé des tentatives de fraude au président boostées par l'IA : un faux appel vidéo avec un "deepfake" du PDG, en pleine visioconférence, demandant à un comptable de valider un virement de plusieurs millions d'euros. L'un des cas les plus médiatisés concerne une entreprise de Hong Kong, arnaquée à hauteur de 25 millions de dollars via une fausse réunion Teams entièrement générée par IA.

Plus proche de notre quotidien d'agence web, on voit aussi fleurir des faux mails "OVH", "Google Workspace" ou "Microsoft 365" parfaitement imités, avec des pages de connexion clonées au pixel près grâce à des outils de scraping automatisé combinés à de l'IA générative pour le design.

Comment se protéger (sans devenir paranoïaque)

Côté technique

• Activez le MFA partout (authentification multi-facteurs). Même si le mot de passe est volé, l'attaquant butera sur la seconde étape.
• Configurez SPF, DKIM et DMARC sur votre domaine pour limiter l'usurpation d'adresse email. C'est une base que toute agence sérieuse doit mettre en place pour ses clients.
• Utilisez des solutions anti-phishing avec IA défensive : oui, l'IA sert aussi à détecter les anomalies de comportement, les incohérences de ton ou les URL suspectes en temps réel.
• Mettez en place une politique de vérification systématique pour tout virement ou changement de RIB : un simple coup de fil sur un numéro connu (pas celui indiqué dans le mail suspect !) peut éviter bien des catastrophes.

Côté humain

La technique ne fait pas tout. La meilleure protection reste la formation continue des équipes. Voici quelques réflexes simples à diffuser en interne :

• Un mail "urgent" qui demande de l'argent ou des identifiants doit toujours déclencher un signal d'alarme, même s'il est parfaitement écrit.
• Vérifier l'adresse email complète de l'expéditeur (pas juste le nom affiché).
• Se méfier des liens raccourcis ou des pièces jointes inattendues, même venant d'un "collègue".
• En cas de doute sur un appel vidéo ou vocal, poser une question personnelle que seul le vrai interlocuteur connaîtrait.

Et les outils de détection dans tout ça ?

Bonne nouvelle : la cybersécurité ne reste pas les bras croisés. Des solutions comme les passerelles email intelligentes (Proofpoint, Vade, Microsoft Defender for Office 365) intègrent désormais des modèles de machine learning capables d'analyser le ton, le style d'écriture et les patterns comportementaux pour repérer des anomalies, même dans un mail parfaitement rédigé. C'est un peu une course à l'armement entre l'IA offensive et l'IA défensive.

Certaines entreprises commencent aussi à utiliser des outils de détection de deepfake en temps réel pour les visioconférences sensibles, notamment dans les secteurs bancaires et industriels.

Ce qu'il faut retenir

Le phishing nouvelle génération ne se repère plus à l'œil nu comme avant. Les fautes d'orthographe et le mauvais français ne sont plus des indicateurs fiables. La vigilance doit désormais se porter sur le contexte et le comportement : une demande inhabituelle, un sentiment d'urgence artificiel, un canal de communication détourné.

Chez YouOnline, on accompagne régulièrement nos clients dans la sécurisation de leur infrastructure web (configuration DNS, hébergement sécurisé, bonnes pratiques emailing) parce qu'on sait que la meilleure défense reste une combinaison intelligente de technique solide et de sensibilisation humaine. L'IA a changé les règles du jeu, mais avec les bons réflexes, on garde une longueur d'avance.