Phishing boosté à l'IA : pourquoi vos arnaques préférées sont devenues (beaucoup) plus crédibles

Le phishing a changé de dimension (et ce n'est pas une bonne nouvelle)

Pendant des années, repérer un email de phishing relevait presque du jeu d'enfant. Une syntaxe approximative, un logo pixelisé, un expéditeur du type service-client@banque-securite123.ru... Bref, les signaux d'alerte étaient visibles à des kilomètres. Sauf qu'en 2025, les cybercriminels ont eux aussi découvert ChatGPT, et le résultat est franchement inquiétant.

Selon plusieurs rapports de l'ANSSI et d'éditeurs comme Proofpoint ou KnowBe4, les emails de phishing générés par IA affichent des taux de clic nettement supérieurs aux campagnes traditionnelles, tout simplement parce qu'ils sont grammaticalement parfaits, contextuellement pertinents et parfaitement calibrés sur leur cible. On est passé du spam générique au harponnage chirurgical.

Les nouvelles techniques qui font froid dans le dos

1. Le spear phishing automatisé

Avant, personnaliser une attaque de phishing demandait du temps : il fallait scruter LinkedIn, les réseaux sociaux, le site de l'entreprise... Aujourd'hui, un attaquant peut demander à une IA de scraper automatiquement toutes ces informations et de générer un email sur-mesure en quelques secondes.

Résultat : un faux email de votre direction financière qui mentionne le bon nom du projet en cours, le bon ton de communication interne, et même une référence à votre dernier post LinkedIn. Flippant, non ?

2. Les deepfakes vocaux : le vishing version 2.0

C'est sans doute la technique la plus spectaculaire du moment. Avec seulement quelques secondes d'enregistrement audio (une story Instagram, une interview, un podcast), des outils d'IA peuvent cloner une voix de façon bluffante.

Le scénario classique : un comptable reçoit un appel qui semble venir du PDG, en plein déplacement, demandant en urgence un virement pour "finaliser un deal confidentiel". La voix est identique, le stress dans le ton est bien imité, et la pression temporelle fait le reste. Des arnaques de ce type ont déjà coûté plusieurs millions d'euros à des entreprises, notamment un cas emblématique à Hong Kong en 2024 où une société a perdu 25 millions de dollars suite à une visioconférence entièrement deepfakée.

3. Les faux sites web indétectables

Créer un clone pixel-perfect d'un site bancaire ou d'un portail d'authentification ne prend plus des heures de développement. Des outils no-code couplés à des générateurs d'IA permettent de pondre un faux site crédible en quelques clics, avec un certificat SSL valide (oui, le petit cadenas vert ne veut plus rien dire) et un nom de domaine presque identique à l'original.

Comment repérer ces arnaques nouvelle génération ?

La bonne nouvelle, c'est que même une IA très douée laisse des traces. Voici les réflexes à adopter :

• Vérifiez l'expéditeur réel, pas juste le nom affiché. Un clic sur "répondre" révèle souvent une adresse email complètement différente.
• Méfiez-vous de l'urgence : un message qui exige une action immédiate (virement, mot de passe, clic sur un lien) est un classique de la manipulation psychologique, IA ou pas.
• Validez par un second canal : si votre direction vous demande un virement par email ou téléphone, rappelez sur un numéro connu pour confirmer. Ce réflexe simple a déjoué d'innombrables arnaques.
• Analysez les liens avant de cliquer : survolez l'URL (sans cliquer !) pour vérifier le vrai domaine de destination.
• Utilisez des solutions de détection basées sur l'IA elles aussi : oui, c'est l'IA contre l'IA. Des outils comme Microsoft Defender, Proofpoint ou Vade Secure analysent le comportement, pas juste le contenu.

Un exemple technique : vérifier l'authenticité d'un email

Pour les plus techniques, voici comment vérifier rapidement si un email provient bien du domaine qu'il prétend représenter, en analysant les en-têtes SPF, DKIM et DMARC :

// Dans Gmail : ouvrir le mail > les 3 points > "Afficher l'original"
// Cherchez ces lignes dans les en-têtes bruts :

SPF: PASS with IP 192.0.2.1
DKIM: PASS with domain votreentreprise.fr
DMARC: PASS

// Si l'un de ces résultats affiche "FAIL" ou "NEUTRAL",
// méfiance immédiate : l'email n'est probablement pas authentique.

Pour les entreprises qui gèrent leur propre domaine, configurer correctement ces trois protocoles (SPF, DKIM, DMARC) reste la base absolue pour limiter l'usurpation d'identité par email. C'est un chantier technique que toute agence web sérieuse devrait inclure dans ses prestations de sécurisation de nom de domaine.

Et côté entreprise, comment se préparer ?

Au-delà de la vigilance individuelle, les entreprises doivent revoir leurs process :

• Formation continue des équipes, avec des simulations de phishing régulières (et pas juste une formation PowerPoint oubliée après 48h).
• Mise en place d'une double validation pour tout virement bancaire, quel que soit le degré d'urgence apparent.
• Authentification multi-facteurs (MFA) partout où c'est possible, pour limiter les dégâts même si un mot de passe est compromis.
• Audit régulier de la surface d'attaque : sites web, sous-domaines oubliés, comptes administrateurs dormants... Autant de portes d'entrée que les attaquants adorent exploiter.

Le mot de la fin

Le phishing nouvelle génération n'est pas une fatalité, mais il demande un changement de mentalité. On ne peut plus se fier uniquement aux fautes d'orthographe ou aux logos moches pour détecter une arnaque : il faut désormais raisonner en termes de comportement suspect plutôt que de simples indices visuels. La technologie évolue vite, les attaquants aussi, mais avec les bons réflexes (et les bons outils), vous gardez une bonne longueur d'avance. Et si vous avez un doute sur la sécurité de votre site ou de votre infrastructure email, n'hésitez pas à faire auditer tout ça par des pros : mieux vaut prévenir que guérir, surtout quand il s'agit de vos données (ou de votre compte en banque).