Phishing boosté à l'IA : quand les arnaqueurs deviennent des acteurs de cinéma

Le phishing a fait sa mue technologique

Pendant des années, on a appris à repérer les tentatives de phishing grâce à quelques indices bien connus : fautes d'orthographe grossières, logo pixelisé, adresse d'expéditeur bizarre, ou message d'urgence exagéré du style « Votre compte sera supprimé dans 24h ». Ces signaux étaient nos meilleurs alliés.

Sauf que l'arrivée massive des IA génératives (ChatGPT, Gemini, et surtout leurs cousins moins scrupuleux sans garde-fous) a rebattu les cartes. Les cybercriminels utilisent désormais ces outils pour rédiger des emails parfaitement écrits, dans un français impeccable, avec le bon ton, le bon vocabulaire métier, et même le style rédactionnel de votre entreprise si elle a été un minimum étudiée en amont.

Fini les fautes, place à la personnalisation extrême

Le vrai game changer, ce n'est pas juste l'orthographe. C'est la capacité de ces outils à scraper massivement des données publiques (LinkedIn, sites d'entreprise, réseaux sociaux) pour générer des messages ultra-personnalisés en quelques secondes. On appelle ça du spear phishing automatisé, et c'est redoutablement efficace.

• Le mail mentionne le nom de votre manager
• Il fait référence à un projet en cours dans votre entreprise
• Il reprend la charte graphique exacte de votre outil interne
• Il est envoyé au moment stratégique (juste après une annonce financière, par exemple)

Le deepfake vocal : l'arnaque au président version 2.0

On pensait avoir tout vu avec les fameuses « fraudes au président » où un escroc se faisait passer par téléphone pour le PDG afin d'exiger un virement urgent. Aujourd'hui, grâce au clonage vocal par IA, il suffit de quelques secondes d'enregistrement audio (une interview, une conférence YouTube, un podcast) pour générer une voix synthétique quasi indiscernable de l'originale.

Des cas réels ont déjà été documentés dans plusieurs entreprises internationales : un directeur financier reçoit un appel vidéo avec plusieurs « collègues » (en réalité des deepfakes générés en temps réel) qui valident un virement de plusieurs millions d'euros. Ce n'est plus de la science-fiction, c'est arrivé à Hong Kong en 2024 pour un montant de 25 millions de dollars.

Et les SMS et messages vocaux automatisés ?

Le vishing (phishing vocal) profite aussi des IA de synthèse vocale pour lancer des campagnes automatisées à grande échelle, simulant des appels de banques, d'opérateurs télécom ou même de la sécurité sociale, avec une voix naturelle et des réponses contextuelles générées à la volée.

Comment se protéger concrètement ?

La bonne nouvelle, c'est que les fondamentaux de la cybersécurité restent valables. Il faut juste les renforcer et ajouter quelques réflexes supplémentaires.

1. Vérifier l'authenticité technique des emails

Même généré par une IA, un email de phishing laisse souvent des traces techniques. Voici comment vérifier rapidement les en-têtes SPF, DKIM et DMARC d'un mail suspect :

Received-SPF: fail (google.com: domain of expediteur@fausse-entreprise.com does not designate 185.220.101.1 as permitted sender)
Authentication-Results: mx.google.com;
       dkim=fail header.i=@fausse-entreprise.com;
       dmarc=fail (p=REJECT sp=REJECT dis=NONE) header.from=fausse-entreprise.com

Si vous voyez des mentions fail sur le SPF, DKIM ou DMARC, c'est un signal d'alarme immédiat, peu importe la qualité rédactionnelle du message.

2. Adopter l'authentification résistante au phishing

Le mot de passe seul, même compliqué, ne suffit plus. Il faut passer aux méthodes d'authentification qui ne peuvent techniquement pas être détournées par un simple mail piégé :

• Les passkeys (clés d'accès FIDO2) : elles remplacent le mot de passe par une paire de clés cryptographiques liées à votre appareil
• Les clés de sécurité physiques type YubiKey pour les comptes sensibles
• La MFA basée sur des apps plutôt que sur des SMS, plus vulnérables au SIM swapping

3. Mettre en place un protocole de vérification humaine

Pour toute demande de virement, changement de RIB ou action sensible, instaurez une règle simple : aucune validation par email ou téléphone seul. Un rappel systématique sur un numéro connu à l'avance (pas celui indiqué dans le mail suspect !) permet d'éviter 90% des arnaques, même les plus sophistiquées avec deepfake.

Un exemple de mot de passe convenu à l'oral entre collègues avant tout virement important, c'est simple, ça ne coûte rien, et c'est redoutablement efficace contre les deepfakes vocaux.

4. Sensibiliser, encore et toujours

La technologie évolue vite, mais la meilleure protection reste la formation continue des équipes. Organisez des simulations de phishing régulières, variez les scénarios (email, SMS, appel), et surtout, créez une culture où signaler un doute n'est jamais perçu comme une erreur ridicule.

Les outils à surveiller en 2024-2025

Du côté des solutions techniques, plusieurs technologies montent en puissance pour contrer ces attaques nouvelle génération :

• Les EDR (Endpoint Detection and Response) qui analysent les comportements suspects en temps réel, pas juste les signatures connues
• Les solutions anti-phishing basées sur l'IA elles-mêmes, capables de détecter des patterns linguistiques ou des anomalies de style que l'œil humain ne verrait pas
• Les outils de détection de deepfake, encore jeunes mais en progrès rapide, qui analysent les artefacts audio/vidéo invisibles à l'œil ou à l'oreille

Ce qu'il faut retenir

Le phishing assisté par IA n'est pas une menace future, c'est une réalité déjà bien installée. La bonne nouvelle, c'est que les principes de base de la cybersécurité (authentification forte, vérification systématique, sensibilisation des équipes) restent vos meilleurs remparts. Il faut juste accepter que l'époque où on repérait une arnaque « au premier coup d'œil » est révolue.

Chez YouOnline, on accompagne les entreprises de la région d'Aix-en-Provence et au-delà dans la sécurisation de leurs infrastructures web et la sensibilisation de leurs équipes face à ces nouvelles menaces. Parce qu'un site web performant, c'est bien, mais un site (et une équipe) sécurisés, c'est mieux !