Hameçonnage dopé à l'IA : reconnaître et se protéger.

Un message frauduleux peut être rédigé dans un français impeccable, avec un ton professionnel et des détails crédibles. L’IA peut faciliter cette préparation, mais des messages convaincants existaient déjà sans elle. La bonne question n’est donc pas seulement « est-ce bien écrit ? », mais « cette demande est-elle attendue, autorisée et vérifiable ? ».

Mise à jour du 19 octobre 2026 : cet article précise les limites de la détection visuelle et de la contre-vérification, et ajoute des exemples de phishing par calendrier et par code de connexion.

Ce que l’IA facilite, sans rendre l’attaque magique

Des outils de génération de texte peuvent aider à rédiger, traduire ou adapter un message au vocabulaire d’un métier. Des informations publiques peuvent rendre le prétexte plus crédible. Cela ne prouve pas que chaque campagne utilise l’IA, ni que chaque message produit soit convaincant.

La qualité de l’orthographe ne permet donc pas de conclure à la légitimité d’un message ou à son mode de fabrication. Des incohérences peuvent toujours exister : une demande qui ne correspond pas au projet, un interlocuteur inattendu ou un parcours inhabituel. La sensibilisation doit combiner ces indices au lieu de chercher un signe unique.

Voix et vidéo : vérifier la demande, pas seulement la personne à l’écran

L’imitation de la voix ou du visage peut renforcer une usurpation. Il n’est pas raisonnable de demander à chaque salarié d’identifier visuellement toute falsification. Une procédure métier indépendante de l’apparence fournit un contrôle plus stable.

Un changement de coordonnées bancaires, une communication de secrets ou un paiement exceptionnel doit suivre le circuit prévu. Le niveau hiérarchique invoqué ne justifie pas de supprimer les validations. Pour une opération sensible, l’organisation doit prévoir la double vérification appropriée et un moyen de suspendre la demande sans pression.

Trois questions avant d’agir

Attendiez-vous cette demande ? Une référence à un vrai client peut être crédible sans justifier l’action réclamée. Rapprochez la demande du dossier que vous connaissez.

Vous demande-t-on de sortir du processus ? L’urgence, la confidentialité inhabituelle et l’interdiction de consulter un collègue sont des raisons de vérifier. Elles ne prouvent pas seules une fraude, mais elles empêchent de traiter la demande comme routinière.

Quel droit ou quelle information allez-vous transmettre ? Une connexion, un partage de document, une installation de logiciel ou une validation de code ont des effets différents. Comprendre l’action demandée protège mieux que reconnaître seulement un logo.

Rappeler par un canal connu : un contrôle utile, pas une garantie absolue

Pour confirmer une demande sensible, utilisez les coordonnées de l’annuaire ou d’une relation antérieure fiable. Ne prenez pas le numéro inclus dans le message suspect. Si la confirmation reste incertaine, maintenez la suspension et sollicitez le responsable prévu par la procédure.

Ce contrôle réduit le risque, mais ne permet pas d’affirmer qu’un imposteur est incapable d’agir sur plusieurs canaux. Un compte ou un moyen de communication peut lui aussi être compromis. Pour une action à fort impact, combinez la confirmation indépendante avec les autorisations métier requises et conservez la trace de la décision.

Des pièges qui ne ressemblent pas à un courriel classique

Une invitation de calendrier frauduleuse peut profiter de l’habitude de rejoindre rapidement une réunion. Le format de l’événement ne certifie pas la destination du lien.

Le phishing par code de connexion peut utiliser une vraie page Microsoft pour faire approuver la demande d’un tiers. L’adresse correcte ne suffit pas à démontrer que l’opération est légitime.

Un faux support peut demander l’installation d’un outil réel de téléassistance. La question reste l’autorisation de l’intervenant. Enfin, ClickFix pousse à exécuter une action présentée comme une vérification. Ces scénarios doivent être montrés avec des exemples pédagogiques inoffensifs.

Protéger les équipes et faciliter le signalement

Le filtrage, les contrôles d’accès et une authentification résistante au phishing réduisent des risques complémentaires. Comme l’explique notre article sur le MFA, aucun de ces contrôles ne remplace l’examen des sessions, des autorisations et des parcours permis.

Prévoyez un canal de signalement facile à trouver, y compris sur mobile. Demandez à la personne de décrire son action sans la juger : message ouvert, lien consulté, secret saisi, code validé ou logiciel installé. Le support peut alors orienter la réponse selon les faits.

Un exercice de sensibilisation doit aussi tester l’organisation : le signalement arrive-t-il au bon endroit, quelqu’un répond-il et la personne sait-elle quoi faire ensuite ? La réussite ne se résume pas au taux de clic. Elle se mesure à la capacité collective à détecter, vérifier et réagir.

Sources

Références consultées le 19 octobre 2026.

• Cybermalveillance.gouv.fr - hameçonnage
• Microsoft - EvilTokens et ses usages de l’IA
• Check Point - phishing par invitation de calendrier