Un comptable reçoit un e-mail de son directeur financier lui demandant de valider un virement de 12 000 euros vers un nouveau fournisseur. L’adresse expéditrice est correcte à une lettre près, le ton est familier, la signature habituelle est là. Il s’exécute en moins de trois minutes.
Le lendemain, le vrai directeur financier découvre la fraude. Ce scénario se retrouve dans des entreprises de toutes tailles, et il repose sur un seul levier : le phishing exploite des réflexes humains, pas des failles logicielles.
Phishing généré par IA : pourquoi les filtres ne suffisent plus
Les e-mails de phishing rédigés par des outils d’intelligence artificielle génèrent environ 4,5 fois plus de clics que ceux rédigés manuellement, selon le Microsoft Digital Defense Report 2025. Ce chiffre traduit un changement de nature, pas simplement de volume.
Les modèles de langage permettent aux attaquants de produire des messages sans faute d’orthographe, avec un registre adapté au destinataire. Un message ciblant un service RH utilisera le vocabulaire de la convention collective. Un message visant un développeur mentionnera un ticket Jira ou un dépôt Git. Le contenu IA élimine les signaux d’alerte classiques sur lesquels on formait les équipes depuis dix ans (fautes grossières, formulations maladroites, mise en page douteuse).
D’après les benchmarks KnowBe4 de 2025-2026, plus de 80 % des e-mails de phishing observés intègrent désormais du contenu généré par IA, avec une progression marquée des attaques qui échappent aux filtres natifs des suites Microsoft et des passerelles e-mail. On ne peut plus compter sur le filtre anti-spam comme filet de sécurité principal.
Spear phishing et ingénierie sociale : les biais cognitifs ciblés par les attaquants
Le phishing de masse ratisse large. Le spear phishing, lui, vise une personne précise après une phase de renseignement. Les attaquants consultent LinkedIn, les organigrammes publiés sur les sites corporate, parfois même les comptes-rendus de réunions accessibles sur des espaces collaboratifs mal configurés.
Trois biais cognitifs reviennent systématiquement dans les scénarios d’ingénierie sociale :
- Le biais d’autorité : un e-mail qui semble provenir d’un supérieur hiérarchique ou d’un organisme officiel (impôts, URSSAF, banque) déclenche une obéissance quasi automatique, surtout si le message contient une échéance courte.
- Le biais d’urgence : une facture impayée, un compte sur le point d’être suspendu, un colis bloqué en douane. La pression temporelle court-circuite l’analyse critique et pousse à cliquer avant de vérifier.
- La réciprocité : certains scénarios commencent par un faux service rendu (un document partagé, une invitation à un événement) pour créer un sentiment de dette avant de demander des identifiants ou des données sensibles.
Le baromètre 2025 du CESIN, réalisé par OpinionWay, place le trio phishing, spear phishing et smishing en tête des vecteurs d’attaque en France, devant l’exploitation de failles techniques. On a tendance à investir dans des pare-feu et des antivirus, alors que le point d’entrée principal reste la boîte de réception d’un collaborateur.
Obligations réglementaires NIS2 : la sensibilisation au phishing devient auditable
Jusqu’à récemment, former les équipes à la cybersécurité relevait de la bonne pratique. Avec la directive NIS2 et le Règlement d’exécution (UE) 2024/2690 adopté le 17 octobre 2024, la gestion du risque humain lié au phishing devient une obligation structurée, avec des exigences de preuve.
Concrètement, les entités concernées doivent documenter leurs programmes de sensibilisation, prouver leur régularité et démontrer leur efficacité lors d’audits. Un simple e-mail annuel rappelant de « ne pas cliquer sur les liens suspects » ne remplit pas ces critères.
Ce que NIS2 change pour les entreprises françaises
Les PME, TPE et ETI forment la première catégorie de victimes de rançongiciels en France, selon le Panorama de la cybermenace 2025 de l’ANSSI. Ces structures disposent rarement d’un RSSI dédié. La directive les pousse à formaliser ce qui était informel : tracer les campagnes de simulation de phishing, mesurer les taux de clic, adapter la fréquence des exercices.
Les retours varient sur ce point selon la taille de l’organisation, mais le principe reste le même : une entreprise qui ne peut pas prouver qu’elle forme ses utilisateurs s’expose à des sanctions en cas d’incident.
Authentification résistante au phishing : dépasser les codes SMS et les mots de passe
Même un utilisateur vigilant peut se faire piéger par un site de phishing qui reproduit parfaitement la page de connexion de son outil métier. Si l’authentification repose sur un mot de passe et un code SMS, l’attaquant récupère les deux en temps réel via un proxy inverse (attaque man-in-the-middle).
Les méthodes d’authentification résistantes au phishing, comme FIDO2 ou l’authentification basée sur PKI, fonctionnent différemment. Elles lient la clé cryptographique au domaine légitime du service. Un site frauduleux ne peut pas intercepter l’échange, même si l’utilisateur a cliqué sur le lien piégé.
Limites pratiques du déploiement FIDO2
Le passage à FIDO2 suppose de distribuer des clés physiques (type YubiKey) ou de configurer des passkeys sur les appareils des collaborateurs. Pour une équipe de 15 personnes, c’est gérable. Pour un groupe de 3 000 salariés répartis sur plusieurs sites, le déploiement demande un projet à part entière avec gestion des pertes, des remplacements et des exceptions.
L’authentification multifacteur classique (codes SMS, applications d’authentification) reste un progrès par rapport au mot de passe seul. On gagne à la déployer partout où FIDO2 n’est pas encore réaliste, tout en planifiant la migration.
Le phishing ne disparaîtra pas avec une meilleure technologie. Les attaquants s’adaptent aux défenses techniques en se reportant sur les vulnérabilités humaines, et l’IA générative accélère cette tendance. La combinaison qui fonctionne, c’est une authentification forte couplée à des exercices réguliers de simulation, documentés et mesurés. Pas un projet ponctuel, mais un processus continu intégré aux obligations de conformité.
